also mich würde mal interessieren wie sicher es ist daten (passwörter, email-adressen, urls, ...) mittels include() in eine php-datei zu laden.
ich hab mir überlegt relevante daten in eine solche datei zu schreiben, diese dann am anfang eines scriptes in die datei zu laden um dann zugriff auf diese zu haben. es stellt sich mir nur die frage, wie sicher diese daten in der datei sind.
lassen diese sich irgendwie auslesen ? vielleicht auch in eine externe datei laden oder ausgeben ... man braucht ja nur die url zu kennen ...

bevor ihr mir sagt, der php-code wird auf dem server verarbeitet und der user sieht von diesem nix... das weiß ich, nur ist das wirklich so sicher ?!

Mister Ad

axo

naja, deine größte sorge sollte dein böser web-nachbar sein, falls du bei einem shared hoster bist.
bei einem schlecht konfigurierten server könnte dieser deine include-datei ebenfalls inkludieren und hätte damit zugriff auf deine daten.
über allow_url_fopen geht das natürlich nicht - denn die php-datei wird ja bereits geparst inkludiert.
es ist dir wohl auch klar, dass die include-datei nicht .inc o.ä, sondern .php heißen muss, damit diese nicht über http als klartext erscheinen kann.
ansonsten halte ich die technik für ganz gut, ein 'geschütztes' file ausschließlich durch eine zentrale funktion / klassenmethode zu inkludieren, damit die 'geschützten' variablen wenigstens nicht im globalen namensraum verfügbar sind.

wie bekomme ich das heraus ? gibts da ne möglichkeit ?!

axo

probier's halt mal aus ...
so a la:
rekursive funktion nach 'oben' im dateisystem und dateien anzeigen, und guck mal ob du 'permission denied' bekommst, wenn du dich nicht mehr in deinem eigenen ordnersystem befindest.

Ich hatte mal ein Script mit dem man, soweit "Zugelassen" auf dem server rumsurfen konnte wie man wollte. Mal sehen ob ich es nochmal wiederfinde

wäre cool, das ist dann wohl der einfachste weg...
na ich werde mich morgen nach der arbeit mal weiter zu dem thema belesen...

danke aber trozdem für eure antworten!

Chance

Es gibt einen relativ einfachen Trick, um Includes etwas sicherer zu machen.
Aber leider nicht super Sicher...

In die normal auf gerufene Datei:
In die Include:
Es wird überprüft, ob eine Konstante gesetzt ist,
wenn nicht, wird der Aufruf abgelehnt.
Nur, wenn jemand den Check-Wert weiss... ist es nicht mehr so sicher.
Dafür aber register_globals unabhängig.

__________________
Web-Entwickler/-in bei der IAK GmbH

Jagt Dich die Paranoia?

Gib erst mal 'nen Link auf Dein phpinfo, dann sehen wir weiter.

Solche Scripte funktionieren nur auf Systemen, die von überbezahlten DAUs administriert werden.

axo

genau. h*europe vor zwei jahren zum beispiel. was waren dort für schöne session-daten lesbar