[Erledigt] Skriptausführung verhindern

DEdK4ever · 29.12.2011, 22:57

Ziel ist es, einen Downloadordner einzurichten, der PHP-Dateien (und alle anderen Typen auch) ungeparst als application/octet-stream rausgibt.
Das sollte von einer .htaccess gesteuert sein.
Google liefert nur Möglichkeiten, die mit dieser Testdatei nicht funktionieren:

PHP-Code:

<?php exit("FEHLER"); ?>OK

Weder

Code:

RemoveType .php

noch

Code:

AddType text/plain .php

noch

Code:

RemoveHandler .php

noch

Code:

ForceType application/octet-stream

zeigen irgendeine Wirkung.
Das hier bringt zwar den gewünschten Download, aber das Ergebnis wurde trotzdem geparst:

Code:

<Files *.*>
ForceType application/octet-stream
Header set Content-Disposition attachment
</Files>

Eine Menge Geschwafel und schwachsinnige Möglichkeiten habe ich bereits gefunden, aber mehr auch nicht. Weiss jemand Rat?
LG

K313 · 30.12.2011, 00:06

PHP-Code:

  <Files ".php">

  ForceType text/plain

</Files>

30.12.2011, 00:54

Klappt nicht immer oder gar nicht:
http://mod.php.developer.vc/engine-off/

hausl · 30.12.2011, 08:19

Ev. die extension Umbenennen theFile.php.txt und nach dem Ausliefern wieder zurückbenennen oder so?

LG

30.12.2011, 12:24

Theoretisch ließe sich die Scriptausführung mit

Code:

engine Off

unterbinden. Praktisch funktioniert das nicht, wenn in der httpd.conf ein

Code:

php_admin_flag engine On

oder in der php.ini

Code:

engine = on

steht. Beides kann weder via .htaccess oder .user.ini überschrieben werden.

DEdK4ever · 30.12.2011, 12:29

Ich habe jetzt mal beim Hoster angefragt, ob das iwie geht.

30.12.2011, 12:37

Zitat:

Zitat von DEdK4ever

Ich habe jetzt mal beim Hoster angefragt, ob das iwie geht.

Mit Plesk geht es nicht oder nur sehr umständlich, in dem man beim apache2handler eine directory Direktive in der optionalen vhost.conf für einen Pfad erstellt (Plesk 10):

Code:

<Directory ~>
	DirectoryIndex index.php index.html index.htm
	<IfModule mod_php5.c>
		php_flag 	display_errors 1
		php_value session.save_path 		/srv/www/vhosts/example.com/httpdocs/tmp/
		php_value upload_tmp_dir 			/srv/www/vhosts/example.com/httpdocs/tmp/
		<directory /srv/www/vhosts/example.com/httpdocs/script>
			DirectoryIndex index.html index.htm
			php_admin_flag engine Off
		</directory>
	</IfModule>
</Directory>

Bei fastCGI is mir noch nix eingefallen. Das

Code:

engine = Off

in einer lokalen .user.ini (>= 5.3.3) wird leider nicht beachtet.

Suralc · 30.12.2011, 14:42

Müssen die Dateien denn direkt ausgeliefert werden? Reicht es nicht auch, wenn du einen direkten Download über mod_rewrite simulierst und die echte Datei über ein Script auslieferst?

DEdK4ever · 30.12.2011, 15:42

Zitat:

Zitat von Suralc

Müssen die Dateien denn direkt ausgeliefert werden? Reicht es nicht auch, wenn du einen direkten Download über mod_rewrite simulierst und die echte Datei über ein Script auslieferst?

Das wäre 2te Wahl gewesen und mache ich auch wenn die vom Support sagen, dass es nicht geht.
Danke für die vielen Antworten : )
LG

--edit

Zitat:

Zitat von Hoster

Die Deaktivierung von PHP für bestimmte Ordner ist leider nicht möglich.

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Thema bewerten
Thema bewerten:

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
XSS verhindern	mako	PHP Einsteiger	3	13.12.2010 12:41
[Erledigt] Durch Ordner hangeln verhindern	Blablubb	PHP Tipps 2010	4	12.10.2010 04:13
[Erledigt] Fenster schliessen verhindern		HTML, Usability und Barrierefreiheit	4	15.02.2010 14:04
[Erledigt] Verzeichnis-Index auf dem Webserver verhindern	douggy	HTML, Usability und Barrierefreiheit	6	14.11.2008 11:44
[Erledigt] PHP/HTML Code Eingabe in Textarea verhindern?	SilverVegeto	PHP Tipps 2008	2	11.11.2008 11:12
Direktaufruf von PHP-Seiten verhindern	Cr3at3	PHP Tipps 2008	7	29.08.2008 16:29
Ausführung von PHP-Scripten verhindern	Pimbolie1979	PHP Tipps 2008	16	18.05.2008 20:45
__set() verhindern das erzeugen einer neuen Variablen	shocky	PHP Tipps 2006	18	30.10.2006 14:35
E-Mail Feld (a) und www. verhindern	leuktra	PHP Tipps 2006	5	26.09.2006 15:16
Zeilenumbruch in Tabelle verhindern	patr1k	HTML, Usability und Barrierefreiheit	3	22.12.2005 11:24
Externes Downloaden verhindern, aber streaming erlauben...		Server, Hosting und Workstations	1	27.11.2005 11:39
Scrollbar verhindern ohne Frames	Dragon26mFR	HTML, Usability und Barrierefreiheit	7	17.05.2005 08:30
[Erledigt] pcre: Falsches Setzen von Tags verhindern		PHP-Fortgeschrittene	3	26.10.2004 23:11
download von file verhindern	Schiedsrichter	PHP Tipps 2004	1	15.09.2004 11:39
Loginstatus / Neueinloggen verhindern, wenn schon online?!?		PHP Tipps 2004	2	30.07.2004 14:17

29.12.2011, 22:57
DEdK4ever Erfahrener Benutzer Registriert seit: 06.05.2011 Beiträge: 183 PHP-Kenntnisse: Anfänger	[Erledigt] Skriptausführung verhindern Ziel ist es, einen Downloadordner einzurichten, der PHP-Dateien (und alle anderen Typen auch) ungeparst als application/octet-stream rausgibt. Das sollte von einer .htaccess gesteuert sein. Google liefert nur Möglichkeiten, die mit dieser Testdatei nicht funktionieren: PHP-Code: `<?php exit("FEHLER"); ?>OK` Weder Code: RemoveType .php noch Code: AddType text/plain .php noch Code: RemoveHandler .php noch Code: ForceType application/octet-stream zeigen irgendeine Wirkung. Das hier bringt zwar den gewünschten Download, aber das Ergebnis wurde trotzdem geparst: Code: <Files .> ForceType application/octet-stream Header set Content-Disposition attachment </Files> Eine Menge Geschwafel und schwachsinnige Möglichkeiten habe ich bereits gefunden, aber mehr auch nicht. Weiss jemand Rat? LG


Mister Ad PHP Code Flüsterer Registriert seit: 21.08.2005 Beiträge: 4682 PHP-Kenntnisse: Fortgeschritten

30.12.2011, 00:06
K313 Benutzer Registriert seit: 18.12.2011 Beiträge: 37 PHP-Kenntnisse: Fortgeschritten	PHP-Code: `<Files ".php"> ForceType text/plain </Files>` Geändert von K313 (30.12.2011 um 00:15 Uhr).

30.12.2011, 00:54
meikel Gast Beiträge: n/a	Klappt nicht immer oder gar nicht: http://mod.php.developer.vc/engine-off/

30.12.2011, 08:19
hausl Erfahrener Benutzer Registriert seit: 03.08.2010 Beiträge: 1.143 PHP-Kenntnisse: Anfänger	Ev. die extension Umbenennen theFile.php.txt und nach dem Ausliefern wieder zurückbenennen oder so? LG __________________ Keine Zahl != ein Zeichen das keine Zahl ist

30.12.2011, 12:24
meikel Gast Beiträge: n/a	Theoretisch ließe sich die Scriptausführung mit Code: engine Off unterbinden. Praktisch funktioniert das nicht, wenn in der httpd.conf ein Code: php_admin_flag engine On oder in der php.ini Code: engine = on steht. Beides kann weder via .htaccess oder .user.ini überschrieben werden.

30.12.2011, 12:29
DEdK4ever Erfahrener Benutzer Registriert seit: 06.05.2011 Beiträge: 183 PHP-Kenntnisse: Anfänger	Ich habe jetzt mal beim Hoster angefragt, ob das iwie geht.