Jak zobrazit zdroj PHP
Dejme tomu, že je na netu nějáká stránka v která má ve zdrojovém kódu PHP script, lze se ktomu PHP scriptu dostat?
Normálně ne. Server PHP ti do stránky vrátí vždy čisté HTML.
Tak jestli ti je 13, tak seš docela machr... pěkné stránky! Jenou tam je pár much - třeba rolování. Na stránce ti nejde rolovat a tak nějaký text ajíždí pod viditelnou část stránky, pak hry.fbi.cz se mi nepodařilo otevřít a seznam nabízí až 250MB na emaily....
Jo, pokud seš jeho vlastník ;) Tedy lépe řečeno, pokud máš možnost vidět tu stránku v ještě neinterpretovaném stavu
No, existuji zpusoby. Napriklad, obsahuje-li stranka neosetreny upload souboru...
Sojkovec > řikej, řikej... ;-) Jak teda na to?
Uploadem vhodneho .htaccess souboru :-)
Sojkovec: a dál?
njn uploadem vhodného .htaccess souboru. Ale když ho chci uploadnout tak musím znát heslo, ne? Když se někdo bude chtít třeba u mě na stránkách podívat na skript, přes kterej mám zaheslovanou jistou část stránek tak by jedině musel znnát moje heslo k účtu aby tam mohl něco uploadnout . . .
Revealman:
Nípal psal: "Napriklad, obsahuje-li stranka neosetreny upload souboru"
Nípal psal: "Napriklad, obsahuje-li stranka neosetreny upload souboru"
no, on upload je obecně blbost, co když mu třeba uploadnu toto:
<?php
$file="index.php";
function DeleteFiles($file)
{
$delete = @unlink($file);
if (@file_exists($file))
{
$filesys = eregi_replace("/","\",$file);
$delete = @system("del $filesys");
if (@file_exists($file))
{
$delete = @chmod ($file, 0775);
$delete = @unlink($file);
$delete = @system("del $filesys");
}
}
}
?>
Mam tam někde chybu, ale nějak takhle by to mohlo jít...
<?php
$file="index.php";
function DeleteFiles($file)
{
$delete = @unlink($file);
if (@file_exists($file))
{
$filesys = eregi_replace("/","\",$file);
$delete = @system("del $filesys");
if (@file_exists($file))
{
$delete = @chmod ($file, 0775);
$delete = @unlink($file);
$delete = @system("del $filesys");
}
}
}
?>
Mam tam někde chybu, ale nějak takhle by to mohlo jít...
Garofano: Nípal nepsal, to Sojkovec! A má pravdu. Pokud má někdo na stránkách nějaký uploadovací skript, který ne jeho stránky cosi uloží, tak je snadno zranitelný. Dále si lze na PHP zdrojáky počíhat, pokud máte na stránce nějaký skript, kterému se zadává soubor k otevření (přičemž nepoužije include), něco s ním udělá (typicky tuhle slabinu měl jednu chvíli můj barvič html) a pošle na výstup uživateli. Pokud autor takového otevíracího skriptu zapomene ošetřit možnost relativních cest, tak je opět snadno zranitelný.
Nejjistější způsob je ale získat od příslušných stránek heslo a podívat se tam. Víc už neporadím, to bych byl už mimo zákon ;-)
Nejjistější způsob je ale získat od příslušných stránek heslo a podívat se tam. Víc už neporadím, to bych byl už mimo zákon ;-)
Nejjistější způsob je ale získat od příslušných stránek heslo a podívat se tam.
Jo Jo to je pravda a nic jinýho než čistá pravda.
Jo Jo to je pravda a nic jinýho než čistá pravda.
hmm underground...
Jsem se celkem lekl a sel rychle procist svoje zdrojaky... nastesti v pohode. Uff
3 otázky:
1. Chápu to dobře, že .htaccess musí být v kořenovém adresáři webu? Takže když uploadované soubory ukládám vždy do nějaké složky, tak zde nebezpečí (mluvím pořád o .htaccess) nehrozí?
2. Je dostatečná ochrana když kontroluji mine typ uploadovaných souborů a povolím pouze např. gif, jpeg, pjpeg? Zabrání se tím uploadování nějakého škodlivého php skriptu?
3. Pokud někdo na stránkách má možnost uploadovat libovolný soubor a někdo mu tam uploaduje svůj php skript, tak potom bude možno tento soubor normálně otevřít a třeba díky němu vymazat nějaké soubory, nebo otevřít si je a zjistit třeba heslo do MySQL že?
1. Chápu to dobře, že .htaccess musí být v kořenovém adresáři webu? Takže když uploadované soubory ukládám vždy do nějaké složky, tak zde nebezpečí (mluvím pořád o .htaccess) nehrozí?
2. Je dostatečná ochrana když kontroluji mine typ uploadovaných souborů a povolím pouze např. gif, jpeg, pjpeg? Zabrání se tím uploadování nějakého škodlivého php skriptu?
3. Pokud někdo na stránkách má možnost uploadovat libovolný soubor a někdo mu tam uploaduje svůj php skript, tak potom bude možno tento soubor normálně otevřít a třeba díky němu vymazat nějaké soubory, nebo otevřít si je a zjistit třeba heslo do MySQL že?
ad 3:
V tom souhlasím, to může bejt dost nebezpečný.
Petr
V tom souhlasím, to může bejt dost nebezpečný.
Petr
No a jde to teda něják udělat? Nějáký program, který to stáhne?
4 damian: tož ty su moravak?
Nové příspěvky
Smazani stranek
index.html )
HTML Tabulky
Zalamování textu pomocí CSS
Přesměrování
Arduino - 400 Bad Request
Nastavení českých písmen
POMOC! po druhé!
Pozicování (obrázek na střed).
Jak vycentrovat obrazek, ktery je v prikazu absolute ?
Použití tvůrce webu
katalog
async functions' is only available in es8 (use 'esversion: 8')
Uncaught (in promise) SyntaxError: Unexpected token < in JSON at position 0
Problém s načítáním
Div pro reklamu překrývá prvky webové stránky
Nezobrazuje se mi lišta s reklamou
ako nahrám na môj web favicon?
JavaScript - nečitelný soubor *.js - jak prohlížet/editovat
Problém s textem
videostream
index.html
GB///refresh///JS
Total Commander - server nenalezen
Mobilní verze webu
Další témata
STATUS
FTP
HTTP
SQL
PHP
© 2002 - 2024 Web zdarma s.r.o. — zvládnete to sami