PHP script rippen van site / hacken

[Wierdo_NL]

Beste mensen,

Een vriend van mij beweerd dat bij hem op het werk iemand het voor elkaar heeft gekregen PHP script source van een site ( van een klant, was nodig voor backup ofzo ) af te halen.

Dus niet de pagina die het script zou genereren, maar de echte source. Zover ik weet kun je dat alleen doen als je ingelogd bent ofzo.
Maar je kunt toch nooit de source van een script van buitenaf zien..
Dat zou volgens mij een flinke lek zijn in de beveiliging..

Mijn vraag aan jullie wijze mensen, is het inderdaad mogelijk om PHP script source te "downloaden met Internet Explorer" van buitenaf ? Want ik geloof er niets van.

[Janoz]

Het kan wel, maar dan is het meestal door een beveiligings lek dat de makers er (zonder het zelf door te hebben) zelf ingezet hebben. Denk hierbij bijvoorbeeld aan die 'cms'-achtige dingen die met get parameters werken.

[gorgi_19]

Normaal gesproken kan dit niet. Er zijn echter wel een hoop 'fouten' die kunnen optreden, waardoor het mogelijk is.

Een menselijke fout is dat een webbeheerder een instelling op de server wijzigt, waardoor PHP niet meer geparsed wordt.

Daarnaast kunnen er, bewust of onbewust, achterdeurtjes gemaakt zijn. Het is niet al te moeilijk om een bestand in elkaar te zetten dat de source van een bestand laat zien (wat weliswaar dezelfde server staat)

[Wierdo_NL]

ja, met get's enzo kan ik het me voorstellen..

Maar hij had het over een bepaalde toetscombi, en dan kon ie het downloaden.. Ik zeg, dat is onmogelijk...
Ook met notepad geprobeerd, en intern lukte het wel, maar van een externe server niet..
Hij zei, ja, dat moet dan op een bepaalde manier...

Ik geloof het niet..

[drm]

Wierdo_NL:
Maar hij had het over een bepaalde toetscombi

onzin. Als hij 't daarmee voor mekaar heeft gekregen mag hij het hier komen vertellen

[Nielsz]

Op dinsdag 16 juli 2002 09:46 schreef Wierdo_NL het volgende:
ja, met get's enzo kan ik het me voorstellen..

Maar hij had het over een bepaalde toetscombi, en dan kon ie het downloaden..

ah, en geld die 'bepaalde' toetsencombinatie alleen op windows, of ook op linux?

[Wierdo_NL]

Op dinsdag 16 juli 2002 09:52 schreef Nielsz het volgende:

[..]

ah, en geld die 'bepaalde' toetsencombinatie alleen op windows, of ook op linux?

Ik weet het niet, ik heb nog geen bewijs gezien dat het kan, dus ik zei, vraag morgen dan maar eens na bij die collega, want dan is hij "de enige" op de wereld die dat zo kan.
En daarom vraag ik het ook hier, zou het zo kunnen ?
Want hij is overtuigd dat het zo kan, en ik absoluut niet.

Maarja, ik wacht af wat die collega van hem te zeggen heeft.

[BierPul]

Ja dat is

code:

Ctrl + ALT + RIP code

Lijkt me onmogelijk

Wel zijn sommige aardig stom om *.*inc files te gebruiken en die niet door php te laten parsen

dbconnect.inc

hello dbase

[Verwijderd]

Op dinsdag 16 juli 2002 09:55 schreef Wierdo_NL het volgende:

[..]

Ik weet het niet, ik heb nog geen bewijs gezien dat het kan, dus ik zei, vraag morgen dan maar eens na bij die collega, want dan is hij "de enige" op de wereld die dat zo kan.
En daarom vraag ik het ook hier, zou het zo kunnen ?
Want hij is overtuigd dat het zo kan, en ik absoluut niet.

Maarja, ik wacht af wat die collega van hem te zeggen heeft.

dat word dus dikke lol bij jou morgen

[TheDane]

Op dinsdag 16 juli 2002 10:25 schreef LOST_GUNT het volgende:
Ja dat is

code:

Ctrl + ALT + RIP code

Lijkt me onmogelijk

Wel zijn sommige aardig stom om *.*inc files te gebruiken en die niet door php te laten parsen

dbconnect.inc

hello dbase

ik zet *.inc files sowieso nooit in m'n webtree

[D2k]

Op dinsdag 16 juli 2002 10:28 schreef TheDane het volgende:

[..]

ik zet *.inc files sowieso nooit in m'n webtree

*.inc.php bedoel je hoop ik?
.inc is gewoon nooit slim om te gebruiken
als je nl een lek hebt waardoor ik het pad op kan gegeven in je script ../../../../database.inc heb ik alsnog je pass

[Verwijderd]

Op dinsdag 16 juli 2002 10:31 schreef D2k het volgende:

[..]

*.inc.php bedoel je hoop ik?
.inc is gewoon nooit slim om te gebruiken
als je nl een lek hebt waardoor ik het pad op kan gegeven in je script ../../../../database.inc heb ik alsnog je pass

das dus handig als op de server remote mysql connecties uit staan toch ? ?bij mijn host iig wel

[pietje63]

tja, het is alleen mogelijk als er iets fout gaat...

maar kan volgens mij wel;
ik heb namelijk (tijdelijk) mijn site op lycos staan, en ik heb al meerdere keren gehad dat ik hem smiddags zelf even opende (gastenboek enzo checken) en als dat het toen erg druk was en ik (ik denk ik daardoor) in plaats van mijn site opeens het (orginele) php bestand in kladblok kreeg....

volgens mij was de server zo druk bezet dat php niet alle requests bij kon houden ofzo, ik heb niet zo snel een andere verklaring

maar dat is misschien dus wel een hack methode, een server heel erg overbelasten en als hij dan niet prefect geconfigureerd is spuugt hij misschien wel code uit....

[Gerco]

Op dinsdag 16 juli 2002 11:32 schreef pietje63 het volgende:
maar dat is misschien dus wel een hack methode, een server heel erg overbelasten en als hij dan niet prefect geconfigureerd is spuugt hij misschien wel code uit....

Hmm, goede reden om je code toch maar te ZEND'en... alleen jammer dat het zo vreselijk duur is

[Bender]

er zijn tegenwoordig zoveel mensbne met php bezig die er niks vanaf wezen,
er zijn dus ook gigantisch veel slecht beveiligde websites..

dus maybe hoort die daar ook bij...

[Verwijderd]

Het is gewoon vette onzin, php en asp draaien server site, het enige wat over die lijn naar buiten gaat is pure html. Dus dit is gewoon niet mogelijk als je gewoon goed je rechten hebt staan.

[Verwijderd]

Dit topic kan zo zwaar dicht.. het kan niet, want de gebruiker binnen krijgt is al geparsed. punt

[BierPul]

Op dinsdag 16 juli 2002 11:32 schreef pietje63 het volgende:
maar dat is misschien dus wel een hack methode, een server heel erg overbelasten en als hij dan niet prefect geconfigureerd is spuugt hij misschien wel code uit....

code uitspugen zal ie nooit doen er gaat pas info naar buiten als het hele script is uitgevoerd.

De output heb ik wle eens naar buiten zien komen , wat ik ook raar vond maar laatst zag ik onder het formpje (in dit geval van een forum, dat veeeel te zwaar belast werdt)
de hidden file tags naar voren komen letterlijk geprint

De rest van de info die daar onderkwam is trouwens ook niet verwerkt

apache timeout stond te laag

[Apache]

Kan niet, noem hem scriptkiddie en kick'em in the nuts ...

Volgens mij gaat hij onder zware load ook nooit source geven, enkel wat niet volledige html of gewoon <html><body></body></html>

Heeeel misschien met de cgi versie, als er gigantisch veel processes op die bak draaien maar dan gaat hij gewoon een webserver error zoveel geven volgens mij omdat php dan niets teruggeeft.

Ik kan het mij echt niet voorstellen dat ze hier geen rekening mee houden.

[chris]

Ach misschien kan het wel
Zorg maar dat ie de nieuwe react source krijgt, dan geloof ik hem meteen.
Majah het is natuurlijk echt pure onzin.
Misschien heeft wel z'n ftp-programma onder die toetsencombinatie zitten

[BierPul]

Op dinsdag 16 juli 2002 14:48 schreef /dev/null het volgende:
Misschien heeft wel z'n ftp-programma onder die toetsencombinatie zitten

Die ken ik

code:

Ctrl + ALT + FTP

[Verwijderd]

Volgens mij kan dit idd alleen als de server geen php parsing doet, dan behandelt hij het als een gewone text file.

Morgen naar die dude toegaan, en zeggen dat je de toetsen combinatie gevonden hebt: SHIFT-ALT-F4, oid.

[D2k]

//onzin