正在下载php文件？

是否可以从他们所在的服务器下载php文件？我是网络领域的初学者，我担心黑客可能有特殊的工具可以下载，查看我的代码并了解我编写易受攻击代码的位置以破解我的网站。正在下载php文件？

2009-10-18 Narek

如果服务器配置正确并且代码中没有安全漏洞，那么不是，这是不可能的。

如果您有类似

echo file_get_contents($_GET['myFile']);

那么这可能被用来获得你的代码 - 永远不要这样做！

来源

2009-10-18 09:49:23 Greg

禁用了PHP文件功能的安全服务器。 – Roland

这是不可能的来源直接下载到这是通过Apache处理，除非出于某种原因，你的web服务器突然爆发，并停止通过PHP解释器服务的PHP文件（如果你周围有可能的设置弄乱你的PHP文件并打破它。）

一个非常熟练的黑客可能会渗透到你的网络服务器，并很容易地下载任何东西，但这是非常非常低的机会。如果你不是一个大公司，那么谁会花时间去真正黑客？另一个要点是，无论何时你处理用户输入，总是进行消毒，否则你会容易受到常见的XSS攻击（转义字符串，不依赖于PHP_SELF，可以做的其他许多sanitationation）。

来源

2009-10-18 09:49:32

网络服务器的配置决定了文件是否应该解析到php解析器。这通常是基于文件扩展。因此，以.php结尾的文件将被解析，并且对于php源文件，您将使用.phps。因此，在Web服务器上生成动态内容的.php文件不能作为源文件下载。

来源

2009-10-18 09:50:01

黑客不需要你的源代码来闯入你的网站。其实大多数的OWASP十大安全漏洞并不需要源代码利用： http://www.owasp.org/index.php/Top_10_2007

“黑匣子”的漏洞扫描器的Acunetix一样（http://www.acunetix.com）或者开源项目马鹿（http://wapiti.sourceforge.net）可以发现SQL注入，XSS和源代码泄露漏洞很容易。它是一个伟大的工具。

来源

2009-10-20 06:38:17 rook

看起来像一个广告acunetix，不知道如果推荐1500美元的工具是这个家伙的最佳答案，也许我只是脾气暴躁/敏感。 – Collin

是的，你的权利，我添加了马鹿，马鹿屁股屁股的链接:) – rook

干杯，马鹿应该为他服务！ – Collin

在9/10的情况下，坏人可以下载你的PHP源代码的方式是如果你在webroot中保留备份文件，如foo.php.bak或foo.php.old或.backup。这些默认情况下都是纯文件，因此除了上述建议之外，请注意此问题。

来源

2009-10-20 06:42:06 Collin

即使在这种情况下，如果文件具有可执行权限，它也不会造成任何伤害。 – r3dsm0k3

危害是坏人下载了你的源代码。 – Collin

正在下载php文件？

回答

相关问题