Text in Datenbank speichern ohne passwort?

[pbpQS]

Hallo.

Nehmen wir an, dass ich ein Formular habe. Der User kann Text eingeben. Nun will ich diesen Text in der Datenbank speichern, wenn der User auf “Datenbank speichern„ klickt.

Das, was ich möchte ist, dass ich keine Datenbank Daten eingeben will wie z. B.

<?php
$host = "localhost"; /* Host name */

$user = "root"; /* User */

$password = ""; /* Password - NICHT EINGEBEN WEGEN DER SICHERHEIT */

$dbname = "tutorial";


$con = mysqli_connect($host, $user, $password,$dbname);

// Check connection

if (!$con) {

  die("Connection failed: " . mysqli_connect_error());

}

?>

Ist sowas möglich?

Warum will ich sowas tun?

Wegen der Sicherheit.

Danke.

[tk1234]

Ist sowas möglich?

Nur wenn der verwendete Benutzer kein Passwort hat - das sollte man aber nicht machen, bei root schon gleich dreimal nicht. In handelsüblichen Webspace-Angeboten wird das (zu Recht!) auch nicht gehen - sonst könnte jeder Benutzer der auf dem gleichen Server liegt auf deine Datenbank zugreifen.

Warum will ich sowas tun?

Wegen der Sicherheit.

Inwiefern versprichst du dir da Sicherheit? Der User sieht doch das Passwort garnicht, das steht doch nur im Quelltext …

[pbpQS]

Ich habe nur gedacht, dass wenn ich nirgends wo ein Passwort eingebe, dass ich dann auch keine Sorgen hätte.

[protestix]

Die Zugangsdaten gehören in eine extra Datei, diese sollte ausserhalb des document root liegen. Danach machst du lediglich ein include zu dieser Datei bevor du eine Verbindung zur DB aufbaust.

[pbpQS]

Ich habe diesen Artikel gelesen:

https://feross.org/cmsploit/

Ich dachte: kein passwort = keine probleme

[jonas3344]

Kein Passwort = Kein Zugriff

Du hast den Artikel wohl gelesen aber nicht verstanden. Es geht dort um CMS, welche unter Umständen Backupfiles erstellen, welche dann ausgeliefert werden. Wenn du #4 beherzigst hast du keine Probleme.

[pbpQS]

Es geht nicht nur um CMS. Das ist ein generelles Problem.

Text Editors Make Temporary Files


Popular command line text editors like Vim, Emacs, Gedit, and Nano create several temporary backup files during the course of file editing. When you open a file for editing, a backup of the original file is saved. Depending on your text editor, in-progress file changes might also be saved to a swap file, so you can restore your unsaved changes in the event of a program crash, power outage, or connectivity issue.

If all goes well, when you’re done editing the file, the text editor deletes the temporary files so your filesystem doesn’t accumulate dozens of old temporary files. However, if your text editor crashes or you lose your connection, then the temporary files will still be on your filesystem.

Aber egal.

Für meine Frage heißt das: Passwort muss sein.

[tk1234]

Es geht nicht nur um CMS. Das ist ein generelles Problem.

Deswegen sollst du ja #4 beachten: wenn die Config-Datei in einem Verzeichnis liegt das per http(s) nicht erreichbar ist, ist es völlig egal ob die Config-Datei zusätzlich noch als .php~ o.ä. in dem Verzeichnis liegt.

[hellbringer]

Es gibt viele Wege um ein Passwort zu speichern:

https://www.codementor.io/@ccornutt/...-php-kvcbrk55z

Bei all dem sollte aber bedacht werden, wenn ein Angreifer Zugang zum Server erhält oder hinterrücks PHP-Code ausführen kann, kann er ziemlich sicher auch das Passwort auslesen, egal wie und wo es gespeichert ist. Also es bringt nichts ein Passwort mit den höchsten Sicherheitsvorkehrungen abzuspeichern, sich dann aber nicht um die Absicherung des Servers oder bei der Code-Qualität zu sparen.

Die meist ausgenutzten Sicherheitslücken sind übrigens Fehler im Source-Code (SQL-Injections, usw. usf.) und veraltete Software.

[tomBuilder]

Es geht nicht nur um CMS. Das ist ein generelles Problem.

"clte editor like gedit " ?

egal.

1.) wieso willst du auf der produktivumgebung vim aufrufen ?
2.) wieso willst du das unter der uid unter welcher dein php-fpm läuft
3.) wieso willst du dem webspace user zugriff auf /home/php-fpm-uid oder /tmp erlauben
4.) wieso nutzt du nicht einfach

set nobackup       "no backup files
set nowritebackup  "only in case you don't want a backup file while editing
set noswapfile     "no swap files

bspw für vi