电脑知识|欧美黑人一区二区三区|软件|欧美黑人一级爽快片淫片高清|系统|欧美黑人狂野猛交老妇|数据库|服务器|编程开发|网络运营|知识问答|技术教程文章 - 好吧啦网

您的位置:首頁技術文章
文章詳情頁

PHP安全-訪問權限暴露

瀏覽:128日期:2022-09-12 09:26:44
訪問權限暴露

數據庫使用中需要關注的主要問題之一是訪問權限即用戶名及密碼的暴露。在編程中為了方便,一般都會用一個db.inc文件保存,如:

CODE:

<?php

$db_user = ’myuser’;

$db_pass = ’mypass’;

$db_host = ’127.0.0.1’;

$db = mysql_connect($db_host, $db_user, $db_pass);

?>

用戶名及密碼都是敏感數據,是需要特別注意的。他們被寫在源碼中造成了風險,但這是一個無法避免的問題。如果不這么做,你的數據庫就無法設置用戶名和密碼進行保護了。

如果你讀過http.conf(Apache的配置文件)的默認版本的話,你會發現默認的文件類型是text/plain(普通文本)。這樣,如果db.inc這樣的文件被保存在網站根目錄下時,就引發了風險。所有位于網站根目錄下的資源都有相應的URL,由于Apache沒有定義對.inc后綴的文件的處理方式類型,在對這一類文件進行訪問時,會以普通文本的類型進行返回(默認類型),這樣訪問權限就被暴露在客戶的瀏覽器上了。

為了進一步說明這個風險,考慮一下一個以/www為網站根目錄的服務器,如果db.inc被保存在/www/inc,它有了一個自已的URLhttp://example.org/inc/db.inc(假設example.org是主機域名)。通過訪問該URL就可以看到db.inc以文本方式顯示的源文件。無論你把該文件保存在/www哪個子目錄下,都無法避免訪問權限暴露的風險。

對這個問題最好的解決方案是把它保存在網站根目錄以外的包含目錄中。你無需為了達到包含它們的目的而把它們放至在文件系統中的特定位置,所有只要做的只是保證Web服務器對其有讀取權限。因此,把它們放在網站根目錄下是沒有必要的風險,只要包含文件還位于網站根目錄下,任何減少風險的努力都是徒勞的。事實上,你只要把必須要通過URL訪問的資源放置在網站根目錄下即可。畢竟這是一個公共的目錄。

前面的話題對于SQLite數據庫也有用。把數據庫保存在當前目錄下是非常方便的,因為你只要調用文件名而無需指定路徑。但是,把數據庫保存在網站根目錄下就代表著不必要的風險。如果你沒有采用安全措施防止直接訪問的話,你的數據庫就危險了。

如果由于外部因素導致無法做到把所有包含文件放在網站根目錄之外,你可以在Apache配置成拒絕對.inc資源的請求。

CODE:

<Files ~ '.inc$'>

Order allow,deny

Deny from all

</Files>

譯注:如果只是因為要舉個例子而這么寫的話,可以理解,畢竟大家學到了一些手段,但這個例子未免生硬了一點。實際上只要把該文件更名為db.inc.php就可以了。就好象房子破了個洞而不去修補,卻在外面去造一個更大的房子把破房子套起來一樣。

在第8章中你還可以看到另外一種防止數據庫訪問權限暴露的方法,該方法對于共享服務器環境(在該環境下盡管文件位于網站根目錄之外,但依然存在暴露的風險)非常有效。

標簽: PHP
相關文章:
主站蜘蛛池模板: 石家庄小程序开发_小程序开发公司_APP开发_网站制作-石家庄乘航网络科技有限公司 | 精密钢管,冷拔精密无缝钢管,精密钢管厂,精密钢管制造厂家,精密钢管生产厂家,山东精密钢管厂家 | 密集架-手摇-智能-移动-价格_内蒙古档案密集架生产厂家 | 防爆电机_ybx3系列电机_河南省南洋防爆电机有限公司 | 基业箱_环网柜_配电柜厂家_开关柜厂家_开关断路器-东莞基业电气设备有限公司 | 成都思迪机电技术研究所-四川成都思迪编码器 | 硬质合金模具_硬质合金非标定制_硬面加工「生产厂家」-西迪技术股份有限公司 | 便携式XPDM露点仪-在线式防爆露点仪-增强型烟气分析仪-约克仪器 冰雕-冰雪世界-大型冰雕展制作公司-赛北冰雕官网 | 聚天冬氨酸,亚氨基二琥珀酸四钠,PASP,IDS - 远联化工 | 小程序开发公司_APP开发多少钱_软件开发定制_微信小程序制作_客户销售管理软件-济南小溪畅流网络科技有限公司 | 消防泵-XBD单级卧式/立式消防泵-上海塑泉泵阀(集团)有限公司 | 众品地板网-地板品牌招商_地板装修设计_地板门户的首选网络媒体。 | 便携式表面粗糙度仪-彩屏硬度计-分体式粗糙度仪-北京凯达科仪科技有限公司 | 钢结构厂房造价_钢结构厂房预算_轻钢结构厂房_山东三维钢结构公司 | 优考试_免费在线考试系统_培训考试系统_题库系统_组卷答题系统_匡优考试 | 长沙发电机-湖南发电机-柴油发电机供应厂家-长沙明邦智能科技 | POS机官网 - 拉卡拉POS机免费办理|官网在线申请入口 | 并网柜,汇流箱,电控设备,中高低压开关柜,电气电力成套设备,PLC控制设备订制厂家,江苏昌伟业新能源科技有限公司 | 高柔性拖链电缆-聚氨酯卷筒电缆-柔性屏蔽电缆厂家-玖泰电缆 | 环压强度试验机-拉链拉力试验机-上海倾技仪器仪表科技有限公司 | 不锈钢拉手厂家|浴室门拉手厂家|江门市蓬江区金志翔五金制品有限公司 | 沥青车辙成型机-车托式混凝土取芯机-混凝土塑料试模|鑫高仪器 | 飞利浦LED体育场灯具-吸顶式油站灯-飞利浦LED罩棚灯-佛山嘉耀照明有限公司 | 无线对讲-无线对讲系统解决方案-重庆畅博通信 | 今日娱乐圈——影视剧集_八卦娱乐_明星八卦_最新娱乐八卦新闻 | ETFE膜结构_PTFE膜结构_空间钢结构_膜结构_张拉膜_浙江萬豪空间结构集团有限公司 | 并网柜,汇流箱,电控设备,中高低压开关柜,电气电力成套设备,PLC控制设备订制厂家,江苏昌伟业新能源科技有限公司 | 泰国试管婴儿_泰国第三代试管婴儿_泰国试管婴儿费用/多少钱_孕泰来 | 精密模具加工制造 - 富东懿| 钢化玻璃膜|手机钢化膜|钢化膜厂家|手机保护膜-【东莞市大象电子科技有限公司】 | 本安接线盒-本安电路用接线盒-本安分线盒-矿用电话接线盒-JHH生产厂家-宁波龙亿电子科技有限公司 | 生物颗粒燃烧机-生物质燃烧机-热风炉-生物颗粒蒸汽发生器-丽水市久凯能源设备有限公司 | 丙烷/液氧/液氮气化器,丙烷/液氧/液氮汽化器-无锡舍勒能源科技有限公司 | 压力控制器,差压控制器,温度控制器,防爆压力控制器,防爆温度控制器,防爆差压控制器-常州天利智能控制股份有限公司 | 锯边机,自动锯边机,双面涂胶机-建业顺达机械有限公司 | 液氮罐(生物液氮罐)百科-无锡爱思科 | 天然气分析仪-液化气二甲醚分析仪|传昊仪器 | 硬齿面减速机_厂家-山东安吉富传动设备股份有限公司 | 旗杆生产厂家_不锈钢锥形旗杆价格_铝合金电动旗杆-上海锥升金属科技有限公司 | 无纺布包装机|径向缠绕包装机|缠绕膜打包机-上海晏陵智能设备有限公司 | 异噻唑啉酮-均三嗪-三丹油-1227-中北杀菌剂厂家 |