Beskytte en PHP fil?

[Niddy]

Jeg har en fil kaldt Index.php der Brukernavnet og Passordet står nevnt, og den viser da innlogginga til SQL serveren, og jeg ønsker logisk nok ikke at noen andre skal få vite passordet. Er det nødvendig å beskytte seg mot det? Evt hvordan? (Har beskytta fila på FTP serveren, med Permissions)

[Ståle]

Da har du kodet feil pa en eller mate. Kan du poste koden her?

[Ernie]

Med mindre du enten kjører på egen server, hosting-selskapet bruker en VPS-løsning eller hosting-selskapet kjører PHP som CGI-prosess, er det fint lite du får gjort. Apache må kunne lese filen, og andre på samme server kan isåfall bruke PHP til å lese filene. Samme gjelder hvis du plasserer den utenfor det som er tilgjenglig (noe du bør kjøre for config uannsett *).

 

 

* Under visse omstendigheter kan PHP-filer bli spyttet ut uten å ha gått igjennom PHP, derfor er det alltid en fordel å holde config utenfor tilgjengelig område.

Endret 10. oktober 2007 av Ernie

[Niddy]

Altså, jeg har ikke kodet feil, den er ikke tydelig for andre eller noe, jeg bare lurte på om noen lett kan lese en php fil. Den er ikke hosta på egen server.

[Stian Jacobsen]

Dette er muligens ikke relevant.. men, en feil mange begår, er å lagre brukernavn,passord i ".inc" filer.. dette er IKKE en php fil, det er kun php selv som leser denne som php, ikke f.eks apache (Om du ikke endrer httpconfig filen)

 

bruk filnavn.inc.php isteden

[Niddy]

Det er egentlig bare midt i scriptet, innenfor PHP scriptet i Index.php.

 

 

Er ikke i en ekstern fil.

[Ernie]

Altså, jeg har ikke kodet feil, den er ikke tydelig for andre eller noe, jeg bare lurte på om noen lett kan lese en php fil. Den er ikke hosta på egen server.

Som sagt, med mindre de da bruker en VPS-løsning (VSP=Virtual Private Server) eller kjører PHP som en CGI-prosess med din bruker er det absolutt ingenting du får gjort for å hindre at enhver annen bruker tilknyttet apache eller webserveren (programvaren, ikke selve maskina) får lese filene dine. Det er prisen man betale for shared hosting, og jeg tviler på at alle veit det.

Endret 11. oktober 2007 av Ernie

[ZoRaC]

Jeg skrev f.eks et script en gang som listet opp mappene fra rot-nivå på serveren (istedet for min hjemmemappe).

Derfra var det bare å klikke seg inn på /home/ og alle brukermappene. Så kunne jeg lese innholdet i alle filer til alle brukere, både PHP-filer og andre.

 

Gjorde hosten oppmerksom på det, men fikk beskjed om at dette var et kjent "problem" med "shared hosting" og ingenting å gjøre med.

[Niddy]

@Ernie, en vanlig person som bruker hjemmesiden min, kan da vel ikke ha mulighet til å lese php scriptet i PHP fila min? Hvordan er det mulig?

[Ernie]

Jeg skrev f.eks et script en gang som listet opp mappene fra rot-nivå på serveren (istedet for min hjemmemappe).

Derfra var det bare å klikke seg inn på /home/ og alle brukermappene. Så kunne jeg lese innholdet i alle filer til alle brukere, både PHP-filer og andre.

 

Gjorde hosten oppmerksom på det, men fikk beskjed om at dette var et kjent "problem" med "shared hosting" og ingenting å gjøre med.

Heh ... tullebukker Fult mulig å gjøre noe med det, de bare gidder ikke. Det er forsåvidt med god grunn, for VPS/VDS krever løsninger ala vmware for å fungere. Et annet alternativ er å kjøre PHP som CGI-prosesser med hver enkelt brukers bruker. Filer med 600 vil da ikke være lesbare av andre med mindre de har root-tilgang.

 

 

@Ernie, en vanlig person som bruker hjemmesiden min, kan da vel ikke ha mulighet til å lese php scriptet i PHP fila min? Hvordan er det mulig?

Det er mulig fordi samme bruker (apache) leser filene. Så alle andre med webområde på samme server kan i praksis lese hver og en av dine filer når de vil, og du kan ikke gjøre en eneste ting for å stoppe de. Det eneste du kan satse på er at de ikke veit banen frem til filene dine.

[Niddy]

Okay, så det er kun folk som bruker samme host som evt. kan få mulighet til å lese filene?

[Ernie]

Ja

[Niddy]

Da er det jo ikke en like stor sikkerhets risiko som jeg trodde da =) Forresten, noen forslag på hvordan jeg kan skjule sql inlogginga bedre?