Wie sicher ist eigentlich PHP?
Ich hab' nen Apache laufen (Apache/2.0.47 (Win32) PHP/4.3.3), allerdings hab' ich aus unsicherheit bei den FTP-Accounts php-files gesperrt, weil ich gar nicht weiss was man mit PHP anrichten kann.
Ist es auf irgend eine Weise fahrlässig, wenn ich jetzt die PHP-files auf dem FTP freigebe, sodass "jeder" irgendwelche PHP-Files uploaden kann?
Was kann man denn mit PHP anrichten?
Kann man zugriffsrechte auf höhere verzeichnisse erlangen?
(Nehmen wir an der root ist f:\frosch\ und ne PHP file in f:\frosch\halunk\ möchte auf f:\frosch\naja.html lesen bzw. schreiben. Geht das?)
Ich hab' einfach kaum nen schimmer von php :D
Achja: Die Maschine läuft auf win2k sp4
Ausserdem hab' ich nen SQL-Server eingerichtet.
Und soviel hab' ich an der PHP.ini nicht geändert, ausser dass es keine fehlermeldungen ausspuckt, wenns fehler gibt.
edit: der thread gehört vielleicht ins programmiererforum, sry :D, ich depp
Re: Wie sicher ist eigentlich PHP?
Zitat:
Original geschrieben von Netbek
Ich hab' nen Apache laufen (Apache/2.0.47 (Win32) PHP/4.3.3), allerdings hab' ich aus unsicherheit bei den FTP-Accounts php-files gesperrt, weil ich gar nicht weiss was man mit PHP anrichten kann.
Ist es auf irgend eine Weise fahrlässig, wenn ich jetzt die PHP-files auf dem FTP freigebe, sodass "jeder" irgendwelche PHP-Files uploaden kann?
Was kann man denn mit PHP anrichten?
Kann man zugriffsrechte auf höhere verzeichnisse erlangen?
(Nehmen wir an der root ist f:\frosch\ und ne PHP file in f:\frosch\halunk\ möchte auf f:\frosch\naja.html lesen bzw. schreiben. Geht das?)
Ich hab' einfach kaum nen schimmer von php :D
Achja: Die Maschine läuft auf win2k sp4
Ausserdem hab' ich nen SQL-Server eingerichtet.
Und soviel hab' ich an der PHP.ini nicht geändert, ausser dass es keine fehlermeldungen ausspuckt, wenns fehler gibt.
edit: der thread gehört vielleicht ins programmiererforum, sry :D, ich depp
Was man mit PHP anrichten kann?
Alles. :D
Ich könnte mit der Möglichkeit meine Scripte auf deinen Rechner hochzuladen und über http auszuführen, nahezu auf dein gesamtes System zugreifen. Da Windows keine Dateirechte ala chmod kennt, kann ich sämtliche Dateien auf deinem Rechner ändern, löschen und einlesen.
Vielleicht bietet da der Save Mode abhilfe, allerdings hab ich keine Ahnung wie man den auf Windowssystemen umsetzt und ob der überhaupt wirkungsvoll funktioniert auf einem Windowssystem.
Also mach dich am besten schlau... sehr schlau bevor du den Upload von PHP-Scripten erlaubst. ;)
Wie gesagt also Stichwort: safe_mode
Frag mal Google. ;)
Und achte auch darauf ob auch die system(), exec(), passthru() und diverse andere Funktionen die auf Kommandozeileebene operieren, durch den safe_mode abgesichert werden.
