Wie sicher sind Include-Dateien ?

[Jürgen W]

Hallo zusammen,
ich habe meine Zugangsdaten für die Datenbank in einem gesonderten Order abgelegt und binde diese per include() in die Webseite ein.
Die Dateien haben die Endung "dateiname.inc.php".
Über "ordnername/dateiname.inc.php" greife ich darauf zu.
Wie sicher sind diese Dateien und können sie unter Umständen von anderen Usern eingesehen werden ?

[Christian Marquardt]

Welche Rechte haben die Dateien? Liegen sie im Doc-Verzeichnis des Servers?

[Jürgen W]

Diese Dateien liegen in einem Unteverzeichnis des Root-Ordners und haben als Rechte 0700. Eine Ablage außerhalb des Ordners ist bei dem Webspace-Anbieter nicht möglich.

[Falk Prüfer]

Hallo,

wenn die Include-Dateien mit einer .php Endung versehen sind und sichergestellt ist das der Webserver .php aus diesem Verzeichnis immer über die PHP-Engine schickt, dann können Sie per HTTP über den Webserver nicht einfach ausgelesen werden. Es gibt noch einen einfachen Mechanismus Include-Dateien vor dem direkten Aufruf zu schützen.
Dazu definiert das Main-Script eine Konstante, z.B.:

define('_MyApplicationIsRunning', 'ON'); 

In jedem Include-Script wird jetzt als allererstes geprüft ob diese Konstante definiert ist.

<?php
defined('_MyApplicationIsRunning') or die('direkter zugriff verwehrt');
...

Alternativ läßt sich auch mit einer .htaccess im Include-Verzeichnis der Zugriff auf die Dateien via Webserver sperren.
[highlight=htaccess]
Order deny,allow

<Files *.php >
deny from all
</Files>
[/highlight]
Solange es jetzt niemandem gelingt ein eigenes (bösartiges) Script auf deinen Webspace zu schleusen oder Zugriff per FTP zu erlangen, sollten die Include-Scripte nicht ausgelesen werden können.

Gruß Falk

[Jürgen W]

Danke ...

... für die schnelle Antwort. :-)