Ho sentito che PHP è alquanto sicuro perché Apache non consente il download di PHP non elaborato. Questo è affidabile, però? Ad esempio, se si desidera proteggere con password qualcosa, ma non si vuole creare un database, qualcosa di simile a $pass = "123454321"; può essere sicuro?
In conclusione, è lecito ritenere che nessuno abbia accesso al vero file .php?
Hai ragione che Apache invierà script PHP all'interprete PHP, se configurato correttamente , ma quello che stai descrivendo è non sicuro.
Né la lingua né il server web sono rilevanti qui, i valori di configurazione non dovrebbero essere in una directory accessibile pubblicamente per cominciare, non c'è assolutamente alcuna ragione per avere il tuo file di configurazione sotto DocumentRoot .
Infine, se qualcuno non ha accesso al server, non puoi mai presumere che nessuno abbia accesso ai tuoi file.
Se non commetti errori, le origini PHP non possono essere lette dall'esterno: finché apache è configurato per gestire file .php tramite mod_php, verranno sempre eseguiti, mai pubblicati come non elaborati.
Tuttavia, gli errori sono facili da fare e si trovano spesso nel codice di produzione. Gli errori tipici includono:
$_GET ), quindi servi questo file attraverso, diciamo, readfile . Ad esempio, se hai readfile("/home/me/pages/{$_GET['pageid']}.html") , un utente malintenzionato può facilmente piantare qualcosa come "../../../../../../../../../../../etc/shadow" . config.php sarà interpretato, ma config.php.inc no; dal momento che .inc non è un'estensione nota nella maggior parte delle configurazioni, Apache usa il testo in chiaro, il che significa che il codice sorgente può essere richiesto sulla rete. .php file in una posizione in cui vengono eseguiti, è possibile eseguire codice PHP arbitrario sul server, incluso il codice che legge altri script ed estrae le password. eval , include , system , exec o chiamate simili nel tuo codice, e i loro argomenti sono parzialmente forniti dall'utente, potresti essere nei guai: gli input non correttamente sterilizzati a uno di questi costrutti possono consentire agli aggressori di eseguire codice PHP o comandi shell arbitrari. Oltre a evitare queste trappole, dovresti mettere solo i file sotto la root del documento che devono essere chiamati direttamente; qualsiasi include, file di dati, file di configurazione, librerie, ecc., andare nelle directory al di fuori della root del documento.