Onderwerp: Externe PHP-code blokkeren?

Origineel geplaatst door chielsen


Niet om het een of ander, maar ik heb het over goede scripters. Als je persee met include niet-lokale bestanden wil includen ben je gewoon niet goed bezig. Je wil altijd zo onafhankelijk mogelijk zijn van bepaalde server instelling. Je kan bijna alle scripts ook wel maken zodat het niet uitmaakt dat safe_mode uitstaat.

Er zijn voorbeelden genoeg waarvan ik eigenlijk geen ga geven, maar op het moment dat een script werkt op de resultaten van een andere pagina (lees bv.: ringtone sites welke elke dag automatisch het content doen updaten), dan zul je altijd externe pagina's moeten laden.

Ook 0900 systemen welke op maat worden gemaakt of andere partners zoals ringtonio / mobilemoney gebruiken hun eigen code waardoor je verplicht wordt http:// -> externe bronnen te gebruiken.

Nu jij weer

Origineel geplaatst door WH-Tim


Er zijn voorbeelden genoeg waarvan ik eigenlijk geen ga geven, maar op het moment dat een script werkt op de resultaten van een andere pagina (lees bv.: ringtone sites welke elke dag automatisch het content doen updaten), dan zul je altijd externe pagina's moeten laden.

Ook 0900 systemen welke op maat worden gemaakt of andere partners zoals ringtonio / mobilemoney gebruiken hun eigen code waardoor je verplicht wordt http:// -> externe bronnen te gebruiken.

Nu jij weer

Ooit gehoord van sockets?

Ja hoor

mod_security kan je zo strak als je zelf wilt instellen, het is eerst wat proberen via trial on error. Er zijn op itnernet genoeg voorbeeld te vinden hoe je mod_security moet instellen.

@bontekoe: mod_security is een apache module werkt bijv prima met ensim, dus zal ook wel met cpanel werken

Origineel geplaatst door chielsen


Ooit gehoord van sockets?

Lijkt me wel zo verstandig. Wat als een hacker het voor elkaar krijgt om een domein naar hemzelf te routeren? Hackt hij in 1x een tig aantal domeinen (als er geen verdere beveiligingsmaatregelen zijn genomen).

Beveiliging is altijd een trade-off. Wellicht een idee om servers veilig in te stellen en een enkele server in te stellen voor klanten die de minder veilige functies daadwerkelijk nodig hebben?

Aloha,

Martin

Dan filter je op ".nl" en een hele meuk aan andere extensies er ook nog eens bij, dan is je probleem opgelost in bijna alle gevallen.

Dan kunnen bestanden al 'lang.nl.php' niet geinclude worden, erg handig... Zullen klanten waarderen die .nl gebruiken in bestandsnamen of querystring. Daarnaast zal je dus ALLE extensie sin een lijst moeten gooien, gaat dus echt nergens over.

Wat ook kan...

Kijken of het bestand bestaat DMV
file_exists($_GET['page'])

kan je iig geen URL's meer gebruiken....

?page=../../../etc/pwd werkt dan wel.

Bottom line is, je moet een oplossing server-matig vinden. Niet script matig!