Комментарии: Концепт защиты PHP сайта https://intsystem.org/security/security-system-php-site/ Случаи из опыта разработки различных WEB проектов. Интересные факты, статьи, впечатления. Программирование и все о нем в сфере WEB. Fri, 31 Jul 2015 14:10:20 +0000 hourly 1 https://wordpress.org/?v=6.9.1 Автор: Дмитрий Амиров https://intsystem.org/security/security-system-php-site/#comment-14290 Wed, 01 Oct 2014 08:17:21 +0000 http://intsystem.org/?p=916#comment-14290 В ответ на Мимопроходил.

Понаписали вы конечно мне комментариев) Сейчас постараюсь на все ответить.

Насчет

Но возникают сомнения — сильно ли это отличается от прямого указания «require/include» в каждом запускном файле? (помимо незначительного увеличения кода, естественно)

вы правы, разницы нет между auto_prepend и подключением оного в каждый скрипт. Но вот если все же использовать в качестве меры защиты — то только auto_prepend т.к. нужно чтобы этот скрипт выполнялся для всех php скриптов на сервере (Врятли злоумышленник будет подключать систему защиты через include в свой веб шелл :D ).

]]> Автор: Мимопроходил https://intsystem.org/security/security-system-php-site/#comment-14273 Tue, 30 Sep 2014 17:57:47 +0000 http://intsystem.org/?p=916#comment-14273 Собственно, заглянул случайно на этот сайт — да тут и остался… Добавил в закладки.
Что касается использования директивы «auto_prepend_file», то ведь её и необязательно использовать в качестве «меры защиты». Это очень вкусная директива, по поводу и без оного.
Но возникают сомнения — сильно ли это отличается от прямого указания «require/include» в каждом запускном файле? (помимо незначительного увеличения кода, естественно)

]]> Автор: Дмитрий Амиров https://intsystem.org/security/security-system-php-site/#comment-13209 Fri, 01 Aug 2014 13:23:49 +0000 http://intsystem.org/?p=916#comment-13209 В ответ на mr.The.

Собсно запилил это на гитхаб:
https://github.com/InSys/PrependSecuritySystem

Наконец :)

]]> Автор: Дмитрий Амиров https://intsystem.org/security/security-system-php-site/#comment-13207 Fri, 01 Aug 2014 12:50:29 +0000 http://intsystem.org/?p=916#comment-13207 В ответ на Hammer.

Хеширование? Напомните пожалуйста, где там используется хеширование

]]> Автор: Hammer https://intsystem.org/security/security-system-php-site/#comment-13196 Thu, 31 Jul 2014 18:43:59 +0000 http://intsystem.org/?p=916#comment-13196 В ответ на Дмитрий Амиров.

Убрал хэширование и вижу что номера в ссылках не играют роль, файлы определяются правильно.

]]> Автор: Hammer https://intsystem.org/security/security-system-php-site/#comment-13195 Thu, 31 Jul 2014 18:06:34 +0000 http://intsystem.org/?p=916#comment-13195 В ответ на Дмитрий Амиров.

а если убрать хеширование названия файлов, сыграет это роль на безопасность, сам скрипт и БД лежат, вне корня сайта?

]]> Автор: Дмитрий Амиров https://intsystem.org/security/security-system-php-site/#comment-13194 Thu, 31 Jul 2014 17:57:58 +0000 http://intsystem.org/?p=916#comment-13194 В ответ на Hammer.

Боюсь что я не смогу вам подсказать. С момента написания поста и этого скрипта прошло уже больше года. Я не помню деталей реализации, вам прийдется вникнуть в них самому(

]]> Автор: Hammer https://intsystem.org/security/security-system-php-site/#comment-13193 Thu, 31 Jul 2014 17:50:45 +0000 http://intsystem.org/?p=916#comment-13193 В ответ на Hammer.

и раз уж на самый пожарный лучше вручную, то подскажите, а то сомневаюсь. К примеру ссылка index.html хотя на самом деле фаил index.php, ну и index.php?id=10, index.php?id=5(/index/10.html, /index/5.html) имеет ли значение?

]]> Автор: Hammer https://intsystem.org/security/security-system-php-site/#comment-13192 Thu, 31 Jul 2014 17:30:45 +0000 http://intsystem.org/?p=916#comment-13192 В ответ на Дмитрий Амиров.

Тоесть делать md5 кэш каждого файла и вносить в список?

]]> Автор: Дмитрий Амиров https://intsystem.org/security/security-system-php-site/#comment-13191 Thu, 31 Jul 2014 15:30:09 +0000 http://intsystem.org/?p=916#comment-13191 В ответ на Hammer.

Запишет, поэтому во время обучения нужно быть предельно внимательным. С этим, к сожалению, ничего не поделаешь. Ну или как вариант — обучать вручную.

]]>