Tijden veranderen
Config.inc veilig?
Is een config.inc.php bestandje waar je mysqlverbinding in wordt gemaakt wel veilig? Stel dat iemand anders dat nu op zijn site include heeft die toch mooi toegang tot je database. Of ligt het anders?
Groeten, Wessel Bruinsma
Laat je config kijken of hij wel vanaf de goede pagina word geopend,
Noem het niet gewoon standaard config.php
ik denk dat je dat ertegen zou kunnen doen,
maar ik weet eigenlijk iemand exern bestanden kan includen
Code (php)
1
2
2
if ($_SERVER['SERVER_ADDR'] != IP)
exit();
exit();
boven aan mijn config.inc.php zet, dan moet het opgelost zijn. Toch?
maar als er meerdere site op 1 server met hetzelfde IP zitten, dan zou ik t ook niet weten.
Bijvoorbeeld:
Code (php)
1
$var = 'baobt023140bo124b1o4boi1b24124oi1bpob1oi5b12o5baskjdbasela';
Nu controleer je gewoon in config.php of dat overeenkomt. Zo ja -> Dan uitvoeren, zo nee dan niet.
Meestal is het echter wel veilig, omdat 9 van de 10 keer de server het niet toestaat externe files te includen.
Is het mogelijk om plaatjes te preloaden? Ik werk namelijk aan een chatbox. (xmlhttp) Je merk er niks van als deze tekst herlaad, maar de plaatjes moet het steeds opnieuw laden. Hoogstens irritant dus. Is het mogelijk met een slim stukje javascript ofzo om de plaatjes te preloaden, niet met een balkje ofzo, maar als je de pagina opent dat het het dan al laad.
Als het niet duidelijk is moet je het maar even zeggen.
Over dat config.inc.php he, kun je bovenin niet dit doen:
config.inc.php:
Code (php)
index.php:
WesselB schreef op 18.10.2007 12:56:
Ik heb het opgelost met het controleren van de SERVER_NAME.
En als ik mijn Apache nou zo instel, dat mijn servernaam precies hetzelfde is als jouw servernaam? Dan is het weer lek.
@Santhe
Kan je dat dan zo instellen? Dat is toch niet mogelijk. Ik dacht dat de $_SERVER variablen altijd hetzelfde blijven en niet instelbaar waren =S
Dat de meeste oplossingen voor problemen uitermate eenvoudig zijn, dat willen een hoop mensen niet geloven. Daar kunnen jij en ik niets aan veranderen, het zij zo.
Ik heb index.php binnen de webroot staan en dat was het dan. Verder nog wat css, js en images, maar daar is niks spannends aan en heeft niks met PHP te maken.
Beveiliging is niet zo moeilijk, je moet gewoon heel simpel denken. Geef bezoekers toegang tot datgene wat ze nodig hebben en verder helemaal niks. Vele programmeurs denken precies andersom, die gaan zaken blokkeren wat men niet nodig heeft. Het is alleen lullig dat jij nooit weet wat men niet nodig heeft, dat is gewoon te veel.
1) Trek alle rechten in voor alle soorten gebruikers/rollen
2) Ken per rol die rechten toe die absoluut onmisbaar zijn en waar geen beter alternatief mogelijk is. En vergeet niet dat public ook een rol is.
De kans dat je nu wordt gehackt is al zeker een factor 100 kleiner geworden.