SQL passwords in PHP script

[Verwijderd]

Als ik in een PHP script met een MySQL database connect, kan niet iedereen dan het password van de database-user (ofzoiets) zien als ze de source van mijn html zien? Of snap ik het weer eens helemaal niet!?

mysql_connect("localhost", "user", "password");

[Verwijderd]

Het paswoord staat in de database en niet in de source van je pagina(behalve als je het print natuurlijk): nee dus.

[TheDuke]

zoiets had je natuurlijk ook zelf kunnen testen door de source van je pagina te bekijken en tot de conclusie te bekomen dat het nergens te bekennen is

[Hans]

Het paswoord staat in de database en niet in de source van je pagina

Euh?? Je hebt bij een mysql_connect of mysql_pconnect toch echt een password nodig... Maar als je bedoelt of het password zichtbaar is voor de buitenwereld, dan is het antwoord nee, tenzij je bijv gebruik maakt van include files met de extensie .inc en je mysql connect bijv in connect.inc zet, en je je webserver niet geconfigureeerd hebt dat mensen geen .inc bestanden mogen shoppen ben je de zak ja.

[QuarK]

Tja, en dan heb je nog het probleem van mensen met een shellaccount....

[Verwijderd]

TheDuke:

zoiets had je natuurlijk ook zelf kunnen testen door de source van je pagina te bekijken en tot de conclusie te bekomen dat het nergens te bekennen is

Hehe stom van me... ik had niet verwacht dat een script dat ik letterlijk inlaad bij de "view source" er ineens heel anders uit zou zien...

Maar goed beterzzz dus

[Verwijderd]

Zet de rechten van de betreffende files op root.nobody

code:

chmod 640 file.php
chown root.nobody file.php

op die manier kan alleen root en gebruikers van de groep nobody de files lezen...je gebruikt root om de files te editten, nobody is meestal degene onder wie de webserver draait...users iig niet

Dus probleem opgelost lijkt me zo...

[Verwijderd]

Let ook effe op als je bijvoorbeeld een scriptje op je pagina hebt staan waarmee je de source van een php file kan bekijken. Sommige mensen hebben dat effe snel in elkaar gezet en er geen rekening mee gehouden dat er altijd mensen zijn die daarmee proberen in alle files te kijken opzoek naar een password en username.

En omdat je password en username van mysql account meestal het zelfde zijn als die van je gewone ftp en zo, wordt het hacken van je site op die manier wel errug makkelijk.