[שאלה-PHP]אבטחת קוד

[Daniel]

חוץ מזה, שגם אם תאפשר את קריאת ה-PHP והכל, אם עושים,

PHP קוד:

echo file_get_contents("URL"); 


זה יציג את הקוד.

[Kfir.G]

נכתב במקור על ידי MasterT

חוץ מזה, שגם אם תאפשר את קריאת ה-PHP והכל, אם עושים,

PHP קוד:

echo file_get_contents("URL"); 


זה יציג את הקוד.

אי אפשר לבדוק בקובץ עם הקריאה נעשתה דרך include ואם לא לחסום? (כדי לחסום גם את הפונקציה הנ"ל)

[Daniel]

נכתב במקור על ידי kfir_dnd

אי אפשר לבדוק בקובץ עם הקריאה נעשתה דרך include ואם לא לחסום? (כדי לחסום גם את הפונקציה הנ"ל)

תמיד תיהיה דרך לפרוץ את זה, תמיד.
ואיני יודע, יכול להיות שיש,
אבל אפשר לרמות כל דבר.
אפשר לבקש מבעל השרת,
אפשר לעשות בדרכים אחרות,
ותחשוב על זה שזה גם יאט את הטעינה.
אם הטעינה של הדף של הלקוח היא n זמן,
עכשיו זה יהיה n2.
כי זה צריך לטעון את השרת של הלקוח, והשרת של הלקוח צריך לטעון את השרת שלך.

[Kfir.G]

נכתב במקור על ידי MasterT

תמיד תיהיה דרך לפרוץ את זה, תמיד.
ואיני יודע, יכול להיות שיש,
אבל אפשר לרמות כל דבר.
אפשר לבקש מבעל השרת,
אפשר לעשות בדרכים אחרות,
ותחשוב על זה שזה גם יאט את הטעינה.
אם הטעינה של הדף של הלקוח היא n זמן,
עכשיו זה יהיה n2.
כי זה צריך לטעון את השרת של הלקוח, והשרת של הלקוח צריך לטעון את השרת שלך.

אני מסכים איתך שתמיד יש דרך לפרוץ ולעקוף את האבטחה אבל המטרה שלנו היא להקשות כמה שיותר על מי שמנסה לפרוץ.
בקשר לזמן הטעינה יתכן מאוד שאתה צודק אבל כשתחשוב על זה שעמודי PHP בד"כ נטענים בפחות משניה זה לא הפרש כל כך קריטי

[בניה]

זה אפשרי, לקוד שאתה מקבל מהשרת שמכיל את הקודים אתה עושה eval().
וכדי לקבל את הקוד אתה יכול להשתמש ב file_get_contents.
הבעיה שאפשר פשוט לקחת את הקוד ולעשות לו echo ואותו להכניס במקום הקוד שמקבל את הקוד מהשרת שמכיל את הקודים.

[Tomer]

נכתב במקור על ידי בניה

זה אפשרי, לקוד שאתה מקבל מהשרת שמכיל את הקודים אתה עושה eval().
וכדי לקבל את הקוד אתה יכול להשתמש ב file_get_contents.
הבעיה שאפשר פשוט לקחת את הקוד ולעשות לו echo ואותו להכניס במקום הקוד שמקבל את הקוד מהשרת שמכיל את הקודים.

מגנים כמה שיותר. למשל אפשר לחסום כניסה לסקריפט ע"י סיסמא, ע"י הגנת IP.. למרות שהכל אפשר לעבור בסופו של דבר.