Onderwerp: PHPinfo posten een potentieel gevaar?

Stel dat ik een hostingbedrijf heb, dan is het natuurlijk nuttig voor je (potentiële) klanten om te weten welke modules je geinstalleerd hebt e.d., en wat de PHP-instellingen zijn (m.b.t. safe_mode e.d.).
Je zou daarvoor een phpinfo(); kunnen posten en linken vanaf de website.

Ik heb hier al een beetje over zitten filosoferen. Zou dit een potentieel gevaar zijn? Je moet niet "hackers" natuurlijk niet nog wijzer maken dan ze al zijn, maar is de info wel interessant voor ze of zijn ze er niet echt mee geholpen?

Interesant is het op zich wel,
weten welek versie het draait en daarvoor exploits zoeken.
Maar daar zijn ook andere maniren voor om daar achter te komen.

Vertrouwen hebben in je eigen beveiliging blijft belangrijk... en ook zorgen dat je daar een reden voor hebt! Een PHPinfo laat zulke basale info zien, dat zou eigenlijk geen gevaar moeten vormen. Doet het dit (voor jouw gevoel) wel dan zul je bij jezelf moeten raadslagen of je beveiliging wel up to date is.

netcraft.com =) en je weet in een muisklik welke phpversie ^^

als je het systeem goed uptodate houd zou er geen probleem moeten zijn

Nou ik heb nog geen draaide webserver hoor, daar niet van, dus beveiliging (of gebrek eraan ) is nog geen sprake van. Maar bedankt voor alle antwoorden, ik ben weer een klein stapje wijzer geworden. Met Netcraft vind ik eigenlijk alle informatie waar ik over twijfelde of het nuttig zou zijn voor hackers, dus ik denk dat ik er later maar gewoon een phpinfo op zet.

Netcraft kijkt toch alleen maar naar de headers die je webserver geeft?
Kun je dus ook uitztten.

PHPinfo geeft aardig wat informatie, kan voor een cracker handig zijn om een path uit te vogelen van een klant van je die slechte PHP scripts schrijft. Met zulke informatie kun je niet spaarzaam genoeg zijn vind ik.

Je kunt altijd nog de phpinfo op aanvraag tonen.

Gewoon phpinfo achter een passwoord beveiligde directory zetten die alleen toegankelijk is voor klanten.

Hackers meer laten weten dan ze al eenvoudig uit kunnen zoeken is inderdaad een domme zet.

Wat is het nut van een phpinfo achter een beveiligde dir voor klanten? Die klanten kunnen dan gewoon een phpinfo generaten op hun eigen account. Het gaat juist om het informeren aan potentiële klanten, lijkt mij.

Ik kan natuurlijk ook even het bestandje (= de output) opslaan en tonen op aanvraag. Lijkt me dan toch wel een stukkie veiliger, dan weet je tenminste nog wie het onder ogen gehad hebben...

Origineel geplaatst door Jamai
Ik kan natuurlijk ook even het bestandje (= de output) opslaan en tonen op aanvraag. Lijkt me dan toch wel een stukkie veiliger, dan weet je tenminste nog wie het onder ogen gehad hebben...

Maar klanten kunnen zelf ook een phpinfo.php aanmaken en aan anderen laten zien.

@Beyonder:
Wanneer kan een hacker iets hebben aan de gegevens uit een phpinfo.php bestand dan?

Origineel geplaatst door DennisCitus
@Beyonder:
Wanneer kan een hacker iets hebben aan de gegevens uit een phpinfo.php bestand dan?

PHP veris weten en eventueel een aantal modules, en daar exploits bij zoeken..

Indien een hacker zelf geen php-exploits en php-scripts kan uploaden, is dit toch niet gevaarlijk?

Origineel geplaatst door DennisCitus
Indien een hacker zelf geen php-exploits en php-scripts kan uploaden, is dit toch niet gevaarlijk?

Maar dit hangt ook weer van je klanten af; een brak upload scriptje doet wonderen.

Daarnaast zijn er nog altijd scripters die een bestand includen aan de hand van een $_GET[] var. Via PHPinfo is dan makkelijker uit te zoeken wat een geschikt path is naar leuke bestanden.

Je kunt je klanten in ieder geval adviseren om niet zomaar phpinfo in een open dir te zetten. Door het bijvoorbeeld op te nemen in je control panel verleen je klanten een eenvoudige service en zullen klanten het zelf niet zo snel aanmaken.

Origineel geplaatst door DennisCitus
Indien een hacker zelf geen php-exploits en php-scripts kan uploaden, is dit toch niet gevaarlijk?

Wel

Origineel geplaatst door Triloxigen


Wel

Kunt u dit argumenteren , ben wel geintereseert in