[Erledigt] Wie kann ich die Datei mit den Verbindungsdaten meines SQL-Servers absiche - Seite 2

hausl · 08.06.2011, 12:27

Zitat:

Zitat von hstefan

verbindung.php

PHP-Code:

    // Datenbankverbindungskonstanten definieren

  define('DB_HOST', 'localhost');

  define('DB_BENUTZER', 'benutzer');

  define('DB_PASSWORT', 'passwort');

  define('DB_NAME', 'db');

Ist zwar irgendwie auch doof, aber wenn Du die Include Datei mit den Kennwort-Daten (also die verbindung.php) nur einmalig auf deinem Server hast und in Skript das der Kunde hat dann die nur inkludiert wird von Deinem Server, also einen "externen Include" dieser "General-Zugangsdaten".

Wenns der Hoster erlaubt und es ja Deine Datei ist die included wird sollte es sicherheitstech. auch nicht das Problem sein ?!?

LG

08.06.2011, 12:31

Das heißt doch aber das auch Fremdcode eingeschleust werden kann. Also allgemein steigt doch dann das Sicherheitsrisiko wieder, oder liege ich da falsch?

EDIT: Natürlich schlechte Programmierung vorrausgesetzt ...

hausl · 08.06.2011, 12:34

Zitat:

Zitat von BangkokInLove

Das heißt doch aber das auch Fremdcode eingeschleust werden kann. Also allgemein steigt doch dann das Sicherheitsrisiko wieder, oder liege ich da falsch?
...

Ja sicher.. er kann die dann auch vor dem DB-connect einfach ausgeben lassen "echo..." und vorbei is es wieder.. Mist

eagle275 · 08.06.2011, 13:08

Datenbank-"Kram" in eine eigene Klasse verpacken, die diese Zugriffsdaten aus der Config in private-Membervariablen liest. Dann das ganze Ding mit Zend verschlüsseln .. Komme gerade nicht auf den Konkurrenz-Namen

fab · 08.06.2011, 13:39

IonCube. Ich glaube aber hier wird eine Lösung für ein nicht-existentes Problem gesucht...

Daniel · 08.06.2011, 13:46

Beide Alternativen kosten eben Geld.

Ich sehe auch das Problem nicht. Von außen wird die PHP Datei ja eh nicht weitergegeben und wenn ein Angreifer FTP Zugriff hat und die Datei auslesen kann, ist eh alles zu spät.

hausl · 08.06.2011, 14:04

Und der Kunde soll halt seine eigene DB verwenden und nicht Deine!

LG

hstefan · 08.06.2011, 19:35

Hey Leute, also ich nutze den Webserver nur in unserem Intranet, verkaufen will ich da nix. Daher ist eine Software die etwas kostet nicht drin. Meine Server ist - soweit ich als "Anfänger" den schützen konnte - sicher. Zugriffsschutz durch Serverraum und Anmeldung nur mit Admin-User aus der Domäne. Da das Thema Sicherheit natürlich immer ein Thema ist und bleibt habe ich euch gefragt ob es eine Möglichkeit gibt das Klartextkennwort in der Verbindungsdatei zu verschleiern. Den einzigen zusätlichen Schutz den ich noch einbauen werde ist eine zusätzliche .htaccess-Datei im Pfad. Reicht für meinen einfachen Server dann erstmal aus. Tschöö

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Thema bewerten
Thema bewerten:

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
[Erledigt] Hochgeladene Datei wird doppelt abgelegt	thecracked	PHP Tipps 2008	3	01.07.2008 16:31
Datei auf FTP-Server ändern ohne lokal abzuspeichern	faux	PHP-Fortgeschrittene	11	02.09.2005 11:54
Datei mehrmals öffnen und schließen in einem Skript		PHP Tipps 2005-2	14	14.07.2005 18:12
Ordner Struktur auslesen bestimmte datei finden ....	silverghost	PHP Tipps 2005	3	24.05.2005 13:55
Includete Datei nicht gleich ausgeben	Madden	PHP-Fortgeschrittene	1	12.05.2005 00:19
aus php datei eine pdf datei erzeugen lassen	raffnix	PHP-Fortgeschrittene	5	04.02.2005 15:08
[Erledigt] mail versand mit anhang (-- fopen(), fread(), filesize() --)		PHP Tipps 2005	5	29.01.2005 18:36
xfdf Datei mit PHP an eMail senden Problem: Leere Datei		PHP Tipps 2004-2	1	07.12.2004 12:25
Dateien lesen und schreiben [mehr als: r,a,w]?		PHP Tipps 2004	4	24.10.2004 18:53
Zeilenumbrüche & Neudatein mit PHP		PHP Tipps 2004	5	21.10.2004 11:38
Datei mit php erzeugen	Stümper	PHP Tipps 2004	4	12.10.2004 12:51
php und ftp		PHP Tipps 2004	4	07.10.2004 09:58
[Erledigt] datei editieren		PHP Tipps 2004	1	10.09.2004 20:33
(ich schonwieder) Link seite automatisch	imported_DJ Nuno	PHP Tipps 2004	14	19.08.2004 17:42
Wie kann ich eine PHP Datei in eine HTML Datei umwandeln		PHP Tipps 2004	2	12.08.2004 18:04


Mister Ad PHP Code Flüsterer Registriert seit: 21.08.2005 Beiträge: 4682 PHP-Kenntnisse: Fortgeschritten

08.06.2011, 12:31
BangkokInLove Gast Beiträge: n/a	Das heißt doch aber das auch Fremdcode eingeschleust werden kann. Also allgemein steigt doch dann das Sicherheitsrisiko wieder, oder liege ich da falsch? EDIT: Natürlich schlechte Programmierung vorrausgesetzt ...

08.06.2011, 13:08
eagle275 Erfahrener Benutzer Registriert seit: 01.09.2010 Beiträge: 4.561 PHP-Kenntnisse: Fortgeschritten	Datenbank-"Kram" in eine eigene Klasse verpacken, die diese Zugriffsdaten aus der Config in private-Membervariablen liest. Dann das ganze Ding mit Zend verschlüsseln .. Komme gerade nicht auf den Konkurrenz-Namen __________________ "Irren ist männlich", sprach der Igel und stieg von der Drahtbürste

08.06.2011, 13:39
fab Erfahrener Benutzer Registriert seit: 28.07.2010 Beiträge: 2.308 PHP-Kenntnisse: Fortgeschritten	IonCube. Ich glaube aber hier wird eine Lösung für ein nicht-existentes Problem gesucht... __________________ PHP Blog + Library CSS Effects + Tools

08.06.2011, 13:46
Daniel Erfahrener Benutzer Registriert seit: 01.06.2008 Beiträge: 179 PHP-Kenntnisse: Fortgeschritten	Beide Alternativen kosten eben Geld. Ich sehe auch das Problem nicht. Von außen wird die PHP Datei ja eh nicht weitergegeben und wenn ein Angreifer FTP Zugriff hat und die Datei auslesen kann, ist eh alles zu spät. __________________ Je mehr ich lerne, desto mehr wird mir bewusst, dass ich eigentlich nichts weiß.

08.06.2011, 14:04
hausl Erfahrener Benutzer Registriert seit: 03.08.2010 Beiträge: 1.141 PHP-Kenntnisse: Anfänger	Und der Kunde soll halt seine eigene DB verwenden und nicht Deine! LG __________________ Keine Zahl != ein Zeichen das keine Zahl ist

08.06.2011, 19:35
hstefan Benutzer Registriert seit: 04.11.2010 Beiträge: 40 PHP-Kenntnisse: Anfänger	Hey Leute, also ich nutze den Webserver nur in unserem Intranet, verkaufen will ich da nix. Daher ist eine Software die etwas kostet nicht drin. Meine Server ist - soweit ich als "Anfänger" den schützen konnte - sicher. Zugriffsschutz durch Serverraum und Anmeldung nur mit Admin-User aus der Domäne. Da das Thema Sicherheit natürlich immer ein Thema ist und bleibt habe ich euch gefragt ob es eine Möglichkeit gibt das Klartextkennwort in der Verbindungsdatei zu verschleiern. Den einzigen zusätlichen Schutz den ich noch einbauen werde ist eine zusätzliche .htaccess-Datei im Pfad. Reicht für meinen einfachen Server dann erstmal aus. Tschöö