[PHP]bezpieczeństwo stron www

[4ndr1u]

witam i mam pytanie ponieważ mam taki kłopot bo jak jest strona i jest formularz to przecież w formularzu podaje się dokładną nazwe pliku do którego mają zostać przesłane dane a jeżeli one mają trafić do bazy danych to w tym pliku jest hasło i login do tej bazy więc tutaj moje pytanie czy istnieje jakakolwiek możliwość zabezpieczenia się przed odczytaniem kodu tego pliku z hasłem, loginem itd

[TQM]

Mozna...

1. Plik trzymac poza DocumentRoot tak aby nie byl dostepny z poziomu WWW
2. W .htaccess ustawiasz sekcje mniej wiecej taka (pisze z glowy - mozliwe ze gdziej bedzie blad - sprawdzic w dokumentacji przed uzyciem):

<Files plik_z_haslem.txt>
  Order allow,deny
  Deny from all
</Files>

3. Jesli strona w PHP to plik tez zrobic jako .php - nawet jesli juz ktos by przeszed pierwsze 2 zabezpieczenia (jakos) to jesli odczyta plik z poziomu WWW nie zobaczy nic... bo plik jest w stylu

<?
$db_name="baza";
$db_user="user";
$db_pass="password";
?>

wiec gdy sie wykona... nic nie wyswietli

Oczywiscie zawsze mozna "od duszy strony" czyli od systemu plikow - jesli jakas aplikacja jest dziurafa i pozwala na local file disclosure wtedy za jej pomoca bedzie mozna odczytac zawartosc pliku jako kod zrodlowy...

[4ndr1u]

3. Jesli strona w PHP to plik tez zrobic jako .php - nawet jesli juz ktos by przeszed pierwsze 2 zabezpieczenia (jakos) to jesli odczyta plik z poziomu WWW nie zobaczy nic... bo plik jest w stylu

<?
$db_name="baza";
$db_user="user";
$db_pass="password";
?>

wiec gdy sie wykona... nic nie wyswietli

Oczywiscie zawsze mozna "od duszy strony" czyli od systemu plikow - jesli jakas aplikacja jest dziurafa i pozwala na local file disclosure wtedy za jej pomoca bedzie mozna odczytac zawartosc pliku jako kod zrodlowy...

no więc jeśli chodzi o to że się nic nie wyświetli to jest to bardzo łatwo ściągnąć np takim flash getem i tu moje pytanie jak sie zabezpieczyć przed czymś takim

[TQM]

Pierwsze slysze aby plik .php dalo sie sciagnac wget'em albo innym downloaderem (z serwera ktory obsluguje php) i zobaczyc kod...
Przeciez cala prostota i skutecznosc w tym ze to kod PHP ktory zostanie wykonany przez serwer w momencie "pobierania" i jedyne co wget zobaczy to plik bez jakiegokolwiek tekstu.

[elceef]

3. Jesli strona w PHP to plik tez zrobic jako .php - nawet jesli juz ktos by przeszed pierwsze 2 zabezpieczenia (jakos) to jesli odczyta plik z poziomu WWW nie zobaczy nic... bo plik jest w stylu

<?
$db_name="baza";
$db_user="user";
$db_pass="password";
?>

wiec gdy sie wykona... nic nie wyswietli

Przy założeniu, że PHP skonfigurowany jest z short_open_tag = On. Dlatego lepiej otwierać przez pełny tag.

[TQM]

Tak - to sie zgadza... dlatego przed kodem napisalem ze jest to przyklad

[4ndr1u]

Tak - to sie zgadza... dlatego przed kodem napisalem ze jest to przyklad

aha już rozumiem czyli flashget działa tak że na początku tak jakby musi wyświetlić tą stronę a potem dopiero może zacząć pobierać jeśli jest w PHP
dobrze to zrozumiałem

[Ormi]

Myślę, że jest tak, że flashget pobiera to, co w wyniku prześle mu serwer, z którego plik pobiera. Jeśli jest to obrazek, to ściągnie normalny obrazek, bo to wyśle mu serwer. A jak jest to plik.php, to serwer najpierw sobie przetworzy, to co jest w plik.php i dopiero wynik tego prześle do ciebie. Dlatego nie pobierzesz samego pliku z jego kodem źródłowym

[4ndr1u]

ok dziękuje wszystkim za odpowiedzi bardzo mi to pomogło