include ve require ile güvenlik

[atix]

<?php

$host = 'example.org';
$username = 'myuser';
$password = 'mypass';

$db = mysql_connect($host, $username, $password);

?>

Örnek:
Yukarıdaki satırlar db.inc dosyası olarak veritabanı ile ilgili işlem yapılacağı zaman çağırılır. Bu yöntem veritabanı ile ilgili bilgilerin tek dosyada tutulduğu için kullanışlıdır.
Bu dosyanın dışarıdan direk URL ile ulaşılabilecek bir yerde olması tehlikelidir, çünkü bu durumda include veya require çağırılarak kolayca veritabanı bağlantısına ulaşılabilir.

Bu yazıyı www.birumut.net daki "php güvenlik kitabı " 'nda gördüm.
Böye birşey mümkün mü?

[Yns]

Doğru , uzantısını db.inc değilde db.inc.php yaparsan sorun kalmaz.Zira .inc yorumlanmadan "text" dosya gibi okunacağı için dışarıdan çağırılabilir.

[atix]

Aslında doğru çalışmaz.Çünki biz A server'ı üzerinden B server'ındaki php dosyasına include veya require ile çağrı yaptığımızda, B server'ındaki web sunucusu bize php'yi derleyipte gönderecek.(Ben böyle biliyorum.Yanlış mı?)


YNS:
Bende öyle düşündüm.Zaten server'dada uzantılarını php yaptım.

[Yns]

Evet , uzantı .PHP olduğunda yorumlanmış şekilde cevap verileceği için boş sayfa include edilmiş olacak.

[sunny_smiley]

ilgimi çekti, sayfaya baktım.

Bu tür ayar dosyalarının (.php uzantısı vererek yada AddType ile .inc PHP'ye gönderek) PHP tarafından işlenmesine izin vermek () doğru bir yol değildir. Bu tür kodların dışarıdan çağırılarak çalıştırılabilmesi her zaman tehlikelidir. Eğer bu dosyalarda sadece değişkenlere değer atanıyorsa yukarıda söylenenlerin tehlikesi daha azdır.

Ne dersiniz?

[KoDLaYıCı]

bana burdaki konu linktekiyle tıpa tıp aynı gibi geldi!

[sunny_smiley]

ben onun için verdim zaten

Evet , uzantı .PHP olduğunda yorumlanmış şekilde cevap verileceği için boş sayfa include edilmiş olacak.

Sayfada ise

Bu tür ayar dosyalarının (.php uzantısı vererek yada AddType ile .inc PHP'ye gönderek) PHP tarafından işlenmesine izin vermek () doğru bir yol değildir.

diyor. Ben de sakıncalarını merak ediyorum... Doğru değildir diyor fakat nedenini anlamadım doğrusu

[atix]

Php yaparsak güvenli oluyor ama orda "php yapmak doğru değildir" diyor.Niye doğru değildir?

[PhpMaster]

yanlıs bi bilgi bence , sadece inc olarak koyarsan dışardan ulasılabilir , inc.php veya direkt php olarak yaparsan 100/100 .inc uzantısından daha güvenilir olur

[Ansugo]

Birgün sunucu şaşırırsa ve php dosyalarını yorumlamadan gönderirse ne olur?