[PHP+SQL] Connectie achterhalen

[Verwijderd]

Bestaat er een methode om de connectiegegevens van een PHP + SQL website te achterhalen? Dan bedoel ik de databasenaam, usernaam en userpassword die gebruik maken van desbetreffende database. Stel dat een website een config.php file heeft met die gegevens, zo'n file is onmogenlijk te downloaden. Maar kun je die gegevens alsnog opvragen met een of andere script? Hoe gaat PHP eigenlijk om met zulke gegevens?

[Stoffel]

Hoezo? Heb je snode plannen?

Als je niet zelf een script op die server kan zetten is het snel afgelopen, dan kan het sowieso al niet.

[enveekaa]

Lijkt me inderdaad onmogelijk, aangezien de php serverside geparsed wordt en dan krijg jij het pas te zien als gebruiker zijnde... je kan in principe de php code zelf niet zien..

[Verwijderd]

Nee ik heb totaal geen snode plannen. Ik heb zelf een website die gebruik maakt van een cfg file, dus ik vroeg mij gewoon af of het te "hacken" is.

[Eijkb]

Zolang je dat bestand de .php extensie geeft is er niets aan de hand. Geef je het bestand echter de .cfg of de .inc extensie (wat veel gebeurd) dan kan je deze op vragen met de directe url (welke nog wel eens in je webstats wilt opduiken). Je kan evt. die bestanden ook buiten je webtree zetten (dus onder je webroot) maar dan moet het weer zo ingesteld worden dat bestanden binnen de webroot gebruik mogen maken van bestanden buiten je webroot Lastig allemaal. Noem het gewoon dbconn.cfg.php of iets dergelijks (iig met .php extensie).... dan is er weinig aan de hand.

[Erkens]

Eijkb schreef op maandag 14 februari 2005 @ 10:52:
Noem het gewoon dbconn.cfg.php of iets dergelijks (iig met .php extensie).... dan is er weinig aan de hand.

precies, en dan nog als extra beveiliging doe ik altijd nog een .htaccess:

code:

<FilesMatch "(\config\.inc\.php)">
  Order Deny,Allow
  Deny from all
</FilesMatch>

Ik gebruik FilesMatch met een regex zodat ik eenvoudig extra files kan toevoegen, of bijvoorbeeld alle "inc.php" files kan blokken