[שאלה-PHP]אבטחת קוד

[Tomer]

נכתב במקור על ידי בניה

זה אפשרי, לקוד שאתה מקבל מהשרת שמכיל את הקודים אתה עושה eval().
וכדי לקבל את הקוד אתה יכול להשתמש ב file_get_contents.
הבעיה שאפשר פשוט לקחת את הקוד ולעשות לו echo ואותו להכניס במקום הקוד שמקבל את הקוד מהשרת שמכיל את הקודים.

מגנים כמה שיותר. למשל אפשר לחסום כניסה לסקריפט ע"י סיסמא, ע"י הגנת IP.. למרות שהכל אפשר לעבור בסופו של דבר.

[omercnet]

רעיון נחמד

אבל לא בעיה לעקוף את זה,
אם אתה מגביל רק לפי IP, אפשר לזייף את זה ולהריץ את זה בכל זאת
הייתי ממליץ לשים גם סיסמא, איזה משתנה שמעבירים ב GET שמשמש כמזהה נוסף ל-IP

[Kfir.G]

נכתב במקור על ידי omercnet

רעיון נחמד

אבל לא בעיה לעקוף את זה,
אם אתה מגביל רק לפי IP, אפשר לזייף את זה ולהריץ את זה בכל זאת
הייתי ממליץ לשים גם סיסמא, איזה משתנה שמעבירים ב GET שמשמש כמזהה נוסף ל-IP

איך אני יכול להגן על זה בעזרת סיסמה ככה שלא יהיה ניתן להדפיס את תוכן הקובץ?

[omercnet]

נכתב במקור על ידי kfir_dnd

איך אני יכול להגן על זה בעזרת סיסמה ככה שלא יהיה ניתן להדפיס את תוכן הקובץ?

קודם כל
בכל מקרה
אתה יכול להשתמש בZend כדי להצפין את הקוד

דבר שני אני התכוונתי שתעשה עוד משתנה ב GET כדי לוודא שאתה מריץ את זה רק למי שאתה רוצה

[akamaor]

יוו אני נשבע לך גמני חשבתי על זה
זה רעיון בר ביצוע..

[Kfir.G]

טוב נראה כאילו שהרעיון שהצעתי הוא דיי פופלארי אז אולי כדי לעשות אשכול מרוכז או משהו לעבודה על הנושא הזה בתור פרוייקט של פורום תיכנות הוסטס? או שאולי תומר ישים את זה בתור האתגר או משהו

[omercnet]

http://www.znutgang.com/remote_inclu...sS=hostsIScool

אוקי, הנה
רק אם תגשו מהפוסט הזה ללינק הזה תקבלו את מה שאתם רוצים לקבל

בודק גם סיסמא וגם מאיפה באתם, אפשר להוסיף גם מאיזה IP ולא רק מאיזה עמוד

PHP קוד:

<pre>
<?
if ($_SERVER["HTTP_REFERER"] == "http://www.hosts.co.il/forums/showthread.php?p=543688") {
  if ($_GET['pAsS'] == 'hostsIScool') {
    echo "This is a sweet remote include that checks referer and has a key!";
  } else { echo "Wrong key !!"; }
} else { echo "Unauthorized access !!"; }
?>

[Daniel]

$_SERVER["HTTP_REFERER"] אפשר לזייף, ואפשר לעשות file_get_contents.

זה תאורטית בלתי אפשרי לפי דעתי, כי כל פעם שתעשה include, אני אעשה echo file_get_contents

[omercnet]

בשביל זה הוספתי את ה"סיסמא"
ככה שגם אם תזייף את הREFERER עדיין אתה צריך לדעת את הסיסמא, שרק מי שעושה את ה INCLUDE יודע אותה..

אפילו יודע מה, נלך רחוק.
נעשה WebService קטן, שאתה ניגש אליו, ואתה מקבל סיסמא שמוקצת רק לך (לIP שלך)
ואז אתה עושה INCLUDE עם הסיסמא שקיבלת

מספיק טוב?

[akamaor]

אחים יש אפשרות גם להוסיף את ה ip של השרת