Koliko su bezbedni php fajlovi?

Opste je poznato da je php server-side script jezik, ali me interesuje da da li su php fajlovi bezbedni na internetu, u smislu da li ih neko moze downloadovati kao obicne fajlove i videti moj kod?

Potpis

WLADDA88

moze:
1) ako ti crkne php modul
2) neko provali na server
3) neko ti provali ftp korisnika..
.....
neko na tvom serveru koristi phpBB ili phpNuke
...

4) Ako imaš PHP skriptu koja daje fajlove na download a ne pazi šta daje na download

U principu su sigurni a greška je najčešće ljudski faktor

Potpis

Laravel Srbija.

_{[NE PRUŽAM PODRŠKU ZA PHP PREKO PRIVATNIH PORUKA!]}

Što se tiče servera, ne moguće je da napravi grešku i dopusti korisniku da downloaduje php source...
I takođe, pazi da negdje pogrešno ne iskoristiš highlight_file funkciju....

Potpis

“I never think of the future - it comes soon enough.” - Albert Anštajn (Albert Einstein)

Moguće je da server napravi grešku i prikaže PHP kod, kao što reče flylord, ako zabrljavi php modul (to je severski modul).

Takođe, mnogi stavljaju ekstenziju .inc fajlovima koje include-uju - a to je velika greška (naravno, to je opet ljudski faktor).

Potpis

Laravel Srbija.

_{[NE PRUŽAM PODRŠKU ZA PHP PREKO PRIVATNIH PORUKA!]}

Pa ok je da bude dvostruka extenzija npr. ".inc.php" ili ".class.php" ali nikako ".inc" ili ".class" ;) ...

Potpis

“I never think of the future - it comes soon enough.” - Albert Anštajn (Albert Einstein)

Naravno. Uostalom ekstenzija je samo ono na kraju tako da faktički tu imaš ekstenziju .php

Potpis

Laravel Srbija.

_{[NE PRUŽAM PODRŠKU ZA PHP PREKO PRIVATNIH PORUKA!]}

Bilo koji user na istom web serveru kao i ti može da čita tvoje php fajlove!

Potpis

Planets devastated
Mankind's on its knees
A saviour comes from out the skies
In answer to their pleas...

M.R. J.A.C.K

Kako?
Ako ode u njegov maticni dir ili gdje se to vec nalazi?
Pa kako ce otici obican user tamo? A zasto bi Reseller -a / Super User-a zanimalo sta se nalazi u njegovom diru ili njegovi php fajlovi ???
@ Nemanja - Pa jest' , ali imas i .class / .inc ... ?

Potpis

“I never think of the future - it comes soon enough.” - Albert Anštajn (Albert Einstein)

http://www.burina.net/content/view/43/57/#php_security

Potpis

______________________________________________________________________
Burina.NET

http://maestitia.net/include
http://maestitia.net/fragments

> Kako?
> Ako ode u njegov maticni dir ili gdje se to vec nalazi?
> Pa kako ce otici *obican* user tamo? A zasto bi Reseller -a / Super
> User-a zanimalo sta se nalazi u njegovom diru ili njegovi php fajlovi ???

dovoljno je da pozove ovaj skript sa ?file=www.nekihost.com/index.php
i ne mora da bude super user da bi to pročitao, dovoljno je da se sajt hostuje na istom serveru.



U ovom primeru gore taj neko bi morao da zna da postoji index.php, mada sam viđao i skriptove koji sami listaju dir.

Potpis

Planets devastated
Mankind's on its knees
A saviour comes from out the skies
In answer to their pleas...

M.R. J.A.C.K

> http://www.burina.net/content/view/43/57/#php_security

Upravo tako, tek sam sad video link.

Potpis

Planets devastated
Mankind's on its knees
A saviour comes from out the skies
In answer to their pleas...

M.R. J.A.C.K

To stoji, ali jel si siguran da može da se pozove sa ?file=www.nekihost.com/index.php ili bi moralo sa ?file=/home/mojuser/public_html/index.php (ili tako nekim sličnim path-om)?

Potpis

Laravel Srbija.

_{[NE PRUŽAM PODRŠKU ZA PHP PREKO PRIVATNIH PORUKA!]}

> To stoji, ali jel si siguran da može da se pozove sa
> ?file=www.nekihost.com/index.php ili bi moralo sa
> ?file=/home/mojuser/public_html/index.php (ili tako nekim sličnim path-om)?

ipak treba ?file=/home/mojuser/public_html/index.php
ono malopre sam pisao iz glave. ;)

Potpis

Planets devastated
Mankind's on its knees
A saviour comes from out the skies
In answer to their pleas...

M.R. J.A.C.K

da samo taj problem nije problem php-a nego shared hostinga, bilo koji jezik pati od tog problema isto tako moze da se zvirne i u py i jsp i pl filo-ve problem je sto svi useri dele jedan server koji ima privilegije da gleda svacije fileove svaki skript koji server pokrene ima iste privilegije kao i server.. ispravite me ako gresim ali od ovoga nema zastite ?( sem ne koriscenja shared hostinga )

Potpis

Sobe, apartmani u Crnoj Gori
http://www.123montenegro.com

... ili enkripcije fajlova.

Potpis

“If you think you are too small to make a difference, try sleeping with a mosquito.” - Dalai Lama
XIV

Pa kako ce on znati koji je moj username???
Path, sve treba da zna, a to se nigdje ne prikazuje... Kome cu ja davati cPanel / FTP username ???

Potpis

“I never think of the future - it comes soon enough.” - Albert Anštajn (Albert Einstein)

da to se nigde ne prikazuje ali on moze jednostavno da napise php script
koji ispise njegov trenutni direktorijum koji ce biti recimo /var/www/hosting/users/besposlen_papan
i onda lepo da napravi skriptu koji ce da izlista sve sto nadje u /var/www/hosting/users/
ili da proba sa /var/www/hosting/users/ime_tvog_domena



kako se to postize ? ko vrsi enkripciju i dekrpiciju ? sta se enkriptuje? mozes li mi malo ovo pojasniti, hvala

Potpis

Sobe, apartmani u Crnoj Gori
http://www.123montenegro.com

Username je (bar kod cPanela) prvih osam karaktera tvog domena (po defaultu, kod mene na sajtu nije ).

Enkripciju vrši Zend Optimizer ili IonCube. Ni jedan ni drugi nisu baš jeftini.

Potpis

Laravel Srbija.

_{[NE PRUŽAM PODRŠKU ZA PHP PREKO PRIVATNIH PORUKA!]}