Форум PHP программистов > как защитить файлы админки

[ Поиск ] - [ Пользователи ] - [ Календарь ]

Полная Версия: как защитить файлы админки

m4a1fox

26.03.2011 - 16:40

Добрый день уважаемые эксперты. Вот стало интересно. Допустим, есть админка для сайта. по адресу mysqite.ru/admin. На ней пароль, это понятно. Но, как быть, если конфигурационный, например config.php файл для соединения с БД лежит например в папке connect. Если я введу в строку браузера адрес mysite.ru/admin/connect/ то получу список всех файлов в том числе и файла config.php, скачав его, я смогу добраться до БД и так далее творить не хорошее.... Как быть в таком случае? Единственное что пришло в голову, это создать в папке connect пустой файл index.php, дабы на него ссылался браузер. Так вот. Может кто знает еще какие способы решения данной проблемы есть?
P.S. это все я делаю на localhost. Вопрос. На реальном сервере файлы будут так же открыты?
Спасибо.

Спустя 4 минуты, 18 секунд (26.03.2011 - 15:44) Snus написал(а):

htaccess файл создаешь в директории и пишешь

Order Deny,Allow
Deny from all
Allow from xxx.xxx.xxx.xxx

Вместо иксов свой ip

Спустя 52 секунды (26.03.2011 - 15:45) neadekvat написал(а):

Можно в .htaccess прописать

Options -Indexes

В таком случаии при попытке открыть каталог, в котором нет индексного файла, сервер будет отдавать 403 ошибку "доступ запрещен".

Помимо этого я бы советовал ввести какую-нибудь константу в главной файле, а в подключаемых проверять ее наличие, и если константы нет - посылать нафиг:

if ( ! defined('CONST')) die;

Спустя 6 минут, 55 секунд (26.03.2011 - 15:52) m4a1fox написал(а):

Snus
А можете разъяснить, что значат эти значения?

Спустя 2 минуты, 9 секунд (26.03.2011 - 15:54) Trianon написал(а):

получу список всех файлов в том числе и файла config.php,

скачав его,

где связь?

можно подумать, чтобы скачать config.php, нужен список.

и независимо от списка, можно подумать, запрос config.php вытащит его исходный текст.

Спустя 4 минуты, 55 секунд (26.03.2011 - 15:59) m4a1fox написал(а):

Trianon
Ну а как тогда быть?

Спустя 21 минута, 52 секунды (26.03.2011 - 16:21) m4a1fox написал(а):


Options -Indexes
ErrorDocument 403 /403.html
ErrorDocument 404 /404.html

Вот так сделал, но не работает:(

Спустя 5 минут (26.03.2011 - 16:26) neadekvat написал(а):

Цитата (m4a1fox @ 26.03.2011 - 16:21)

Вот так сделал, но не работает:(

В чем это выражается?

Спустя 1 минута, 2 секунды (26.03.2011 - 16:27) Snus написал(а):

m4a1fox
А у тебя включена поддержка htaccess?

Спустя 3 минуты, 5 секунд (26.03.2011 - 16:30) m4a1fox написал(а):

Snus
А как это проверить?

Спустя 6 минут, 25 секунд (26.03.2011 - 16:37) m4a1fox написал(а):

neadekvat
Эффекта нет вообще. Тут Snus написал что возможно надо ка-то включить поддержку.htaccess. Но как проверить работает он или нет, я не знаю.

Спустя 18 секунд (26.03.2011 - 16:37) alex12060 написал(а):

m4a1fox

Если ты пройдешь к своему конфигу, то ты просмотреть его содержимое никак не сможешь.

Спустя 2 минуты, 4 секунды (26.03.2011 - 16:39) alex12060 написал(а):

redirect http://Best.Best-Host.ru http://phpforum.ru/

Исправь только первое на свой сайт, и вставь в корень. Если перекинет сюда, то работает

Спустя 2 минуты, 53 секунды (26.03.2011 - 16:42) m4a1fox написал(а):

alex12060
Извините, но надо бежать, вечером продолжу. Спасибо за подсказки, но пока что не работает:(

Спустя 6 часов, 28 минут, 49 секунд (26.03.2011 - 23:11) m4a1fox написал(а):

И все же возвращаемся к файлу .htaccess. Как его правильно настроить? У меня так и не получилось!

Спустя 22 минуты, 49 секунд (26.03.2011 - 23:33) m4a1fox написал(а):

И все таки как включить поддержку файла .htaccess. для сервера. Понял что необходимо как то настроить httpd.conf на apache2. Но что то не получается. Может кто знает где подробнее об этом говорится? Ну там форум какой, или статейка где есть... киньте ссылочку. Спасибо.

Спустя 15 минут, 52 секунды (26.03.2011 - 23:49) sebastjan написал(а):

Да вроде ни как нельзя увидеть содержимое файлов PHP из вне.
Наверное если кто то и доберёться до содержимого так не путём скачивания и вывода а путём дырок.

Спустя 13 минут, 49 секунд (27.03.2011 - 00:03) m4a1fox написал(а):

sebastjan
Просто не хочется, что бы оставался открытым доступ к папкам!

Спустя 40 минут, 49 секунд (27.03.2011 - 00:44) m4a1fox написал(а):

И все же people. Кто нибудь может знает толковую статью, или может рассказать как, черт подери, настроить файл httpd.conf и заставить его понимать файл .htaccess?

Спустя 42 минуты, 40 секунд (27.03.2011 - 01:27) m4a1fox написал(а):

И все же если кто заглянет сюда. Вот к чему я пришел. Вот файл httpd.conf

<VirtualHost 111.110.110.112:80>
	ServerAdmin webmaster@localhost
	ServerName www.mysite.com
	DocumentRoot /home/www.mysite.com
	<Directory />
		Options -Indexes FollowSymLinks MultiViews
		AllowOverride None
		Order allow,deny
		allow from all
	</Directory>


	ErrorLog /home/www.mysite.com/log/error.log

	# Possible values include: debug, info, notice, warn, error, crit,
	# alert, emerg.
	LogLevel warn

	CustomLog /var/log/apache2/access.log combined


</VirtualHost>

а вот это файл .htaccess

CharsetDisable on
CharsetDefault utf-8
CharsetSourceEnc utf-8
AddDefaultCharset UTF-8
php_flag magic_quotes_gpc Off
php_flag magic_quotes_runtime Off
php_flag register_globals Off
Options -Indexes
ErrorDocument 403 /403.html
ErrorDocument 404 /404.html
ErrorDocument 500 /404.html

Тем не менее работает не совсем так как хотелось бы. Насколько я понимаю, сервер вообще игнорирует файл .htaccess. Почему - не знаю. Но и в папки где нет index файла тоже не пускает, выдает 403 ошибку - насколько понимаю вот из-за вот этого

Options -Indexes FollowSymLinks MultiViews

Но если меняю вот это

AllowOverride None

на

AllowOverride All

то сервер выдает 500 ошибку.

Спустя 2 часа, 11 минут, 24 секунды (27.03.2011 - 02:38) m4a1fox написал(а):

Тема закрыта. Разобрался.

Спустя 9 часов, 30 минут, 6 секунд (27.03.2011 - 12:08) neadekvat написал(а):

Цитата (m4a1fox @ 27.03.2011 - 02:38)

Тема закрыта. Разобрался.

Так сказал бы, как разобрался. Вдруг у кого-нибудь еще такая же ошибка будет.

Быстрый ответ:

Здесь расположена полная версия этой страницы.