[PHP] bestanden lezen van server *

[Verwijderd]

Ik ben benieuwd of er een mogelijkheid is om door het invoeren van een bepaalde code het mogelijk is om PHP bestanden te openen, om zo de source-code te kunnen lezen.
Zou het mogelijk zijn om bijvoorbeeld een config.php bestand te openen?
Dit vind ik namelijk wel belangrijk ivm beveiliging. En als het kan zou ik graag willen weten hoe!

Thnx!


Bommetje

[gorgi_19]

Ja dat kan, mits je al toegang hebt tot het bestand. PHP bestanden zijn in principe gewoon tekstbestanden.

Van buitenaf is dit niet mogelijk.

[SinergyX]

een manier zou dus idd ftp oid toegang moeten hebben, op et moment dat je em via http aanvraagt, wordt ie meteen geparsed.

Maar normaal buitenaf is het dus nie mogelijk (logisch ook, anders zouden er niet veel "ongehackte" forums zijn )

[ Voor 34% gewijzigd door SinergyX op 02-11-2003 23:53 ]

[pietje63]

Via standaard directe http request op dat bestand niemand direct toegang tot je bestanden (zolang php niet crasht)
via andere php scripts kan dit eventueel wel. Als de server niet goed geconfigureerd is dan heeft iedereen die een script online kan krijgen toegang tot jouw bestanden.

Dit is een van de dingen waar je op moet letten bij het kiezen van een hosting.

Als je zelf je eigen server hebt en
- niemand ftp geeft
- alleen php scripts hebt die je 100% vertrouwt; en dat vertrouwen ook terecht is
- niemand fysiek toegang heeft tot de server
etc
is het allemaal redelijk veilig

extra dingen waar je nog op kan letten
- wachtwoorden gecodeerd opslaan
- andere vertrouwelijke gegevens ook
- databases niet van andere host laten connecten

en zo kunnen we nog wel even doorgaan

[slm]

Ook een (potentiele) backdoor is gebruik maken van een slecht geprogged download-scriptje dat zonder te kijken wat er geserved moet worden een bestandje van de server laat downloaden.

Andere mogelijkheid is het gebruik van .inc extenties voor includes terwijl die niet als php door de server worden herkend. In het script dat de include aanroept gaat het prima, maar als je de .inc in je adresbalk zet, krijg je zo de source-code.

Je kan je sourcecode trouwens altijd encrypten via Zend (behoorlijk duur) of Ioncube (goedkoper).

[marty]

safe mode aanzetten helpt ook

[FlowinG]

Als je ook gebruik kan maken van .htaccess dan kan je ook daar was in pielen. Het is niet moeilijk om zo een map te beveiligen.