[PHP] Source code van config.files encrypten

[Verwijderd]

OK

Effe uitleg

Op mijn website staan de gegevens van host/user/pass in config.php
als je naar de url http://mijnwebsite/config.php surft, dan kan je natuurlijk onder View/Source de source gaan bekijken en zijn mijn gegevens zichtbaar...

Hoe kan ik dit beveiligen ?

Kan ik dit encrypten ? En zoja, hoe ?

Ik heb ondertussen csource.php geprobeerd (hotscripts) maar die werkt niet.
Daar krijg ik volgende error : Fatal error: Cannot redeclare _fwk_filter_encrypt() (previously declared in /home/sites/site156/web/csource.php:11) in /home/sites/site156/web/csource.php on line 11


Wie helpt ?

[Bosmonster]

.config.php -> niet zichtbaar

Maar beter:

Zet het een niveau onder je web-root

Op mijn website staan de gegevens van host/user/pass in config.php
als je naar de url http://mijnwebsite/config.php surft, dan kan je natuurlijk onder View/Source de source gaan bekijken en zijn mijn gegevens zichtbaar...

Als je config gewoon PHP is zal een gebruiker zelfs dan nog niks kunnen zien

Desnoods zet je je configfile in een php-comment.

Mogelijkheden genoeg!

[ Voor 74% gewijzigd door Bosmonster op 16-07-2003 09:57 ]

[samo]

php code is niet te zien onder view source maar alleen de html output
dat moet je al iets geruster maken

maar het is sowiezo wel aan te raden een niet te voor de hand liggende naam te nemen....
iedereen kan bedenken config.php te openen en van daar uit verder werken (evt includen vanuit een ander bestand). Dus zet het in een andere dir.
Vergeet geen index.php in die dir te zetten, anders ziet iedereen het bestand ook.

[ Voor 61% gewijzigd door samo op 16-07-2003 09:59 ]

[Verwijderd]

Ik twijfel hieraan hoor ...

't is zo da ik op mijn eerste pagina (index.php) een include doe van config.php
als ik nu surf naar die config.php, en ik doe View/Source dan zie ik wel degelijk die code hoor ...

[samo]

heb jij veel html in je config.php staan? is dit wel een php en wordt deze wel geparsed als php?

[LuCarD]

Verwijderd schreef op 16 July 2003 @ 09:59:
Ik twijfel hieraan hoor ...

't is zo da ik op mijn eerste pagina (index.php) een include doe van config.php
als ik nu surf naar die config.php, en ik doe View/Source dan zie ik wel degelijk die code hoor ...

Dan klopt er iets niet aan de configuratie of aan het bestand. Aangezien normaal met een goed configureerde server je geen PHP clientside (via http) kan bekijken.

Wat zie je al "view source" doet bij de index.php, zie je dan ook PHP code?

[klinz]

Verwijderd schreef op 16 July 2003 @ 09:59:
Ik twijfel hieraan hoor ...

't is zo da ik op mijn eerste pagina (index.php) een include doe van config.php
als ik nu surf naar die config.php, en ik doe View/Source dan zie ik wel degelijk die code hoor ...

Dan zal je dit na vercrypting ook nog zien. De werking van het PHP bestand zal immers niet anders worden. De uitgespuugde HTML code blijft hetzelfde. Wat voor loginsysteem is het?

[Verwijderd]

OK dat probleem is opgelost, bedankt samo-arne en anderen, inderdaad mijn file werd niet geparsd als php.

Nu heb ik nog een tweede vraag.

Kan ik php-bestanden beveiligen zodat men die niet kan downloaden ?

[cybermans]

als je alle waardes in variablen zet en die niet echo't kan niemand wat zien. en htpasswd files kan je ook buiten je webroot plaatsen zodat ze helemaal niet leesbaar zijn van buitenaf.

[samo]

men kan deze al niet downloaden tenzij ze ftp toegang hebben...
verder als zij downloaden krijgen ze alleen de output, dus de html...
php wordt op de server geparsed voor het versturen, dus normaal kunnen zij het niet downloaden.
includen vanuit een ander domein gaat voor zo ver ik weet ook niet omdat dit met absolute paths werkt (dus file:// i.p.v. http url's). je bestand is dus redelijk veilig...
misschien andere tip:
sla user name en password niet op in het zelfde bestand

[simon]

Verwijderd schreef op 16 juli 2003 @ 10:30:
OK dat probleem is opgelost, bedankt samo-arne en anderen, inderdaad mijn file werd niet geparsd als php.

Nu heb ik nog een tweede vraag.

Kan ik php-bestanden beveiligen zodat men die niet kan downloaden ?

het gebeurt eigenlijk al bij default, apache stuurt van php alleen de output terug, en niet de source

Als je het toch niet helemaal 'visable' wil maken: http://www.zend.com/store/products/zend-encoder.php

[ Voor 12% gewijzigd door simon op 16-07-2003 10:36 ]

[Verwijderd]

OK Thanks mannen

Voor mij mag dit topic closed

[Verwijderd]

Mocht je nou echt niet willen dat andere met toegang op de server bij je bestanden kunnen, kun je denken aan Zend Encoder. Deze is dmv het Small-Business Program al voor 295 dollar aan te schaffen (incl Studio en Optimizer).
je kunt dan aangeven dat hij alleen werkt met door dezelfde encoder geencodeerde files.

Misschien is dit overkill, maar als je een goed lopende site draait op een shared hosting server is het geen slechte investering.

[ Voor 18% gewijzigd door Verwijderd op 16-07-2003 10:58 ]

[angl2k]

PHP:

if(basename($_SERVER["PHP_SELF"]) == "config.php")  {
    die("No sniffing around");
}

extra check die ervoor zorgt dat geen enkele code wordt aangeroepen (denk aan een delete.php functie ofzo)

[ Voor 11% gewijzigd door angl2k op 16-07-2003 15:46 ]

[Verwijderd]

Angl2k --> Wat doet dit juist en in welk bestand moet dit ???

[angl2k]

plaatsen in je config.php bovenaan

dit zorgt ervoor dat config.php niet zelf direct aangeroepen kan worden, maar wel gewoon geinclude kan worden

[Verwijderd]

Thanks Angl2k, I'll try

[Verwijderd]

Da werkt super