可以从外部读取PHP文件吗？

Question

是否有人可以"破解"apache服务器并读取PHP文件.我知道PHP是服务器端语言,不能从服务器以外的任何地方读取,但有人可能会破解服务器并像读取文本文件一样阅读它们吗？

Answer 1

是的,如果他们真的入侵了服务器(SSH,FTP等),他们可能会访问硬盘上的文件.正确配置的Apache服务器不会提供原始PHP文件,它应该始终首先使用PHP解释器处理它们.

为了避免配置错误的Apache服务器出现问题(即使只是暂时的故障),建议将应用程序文件保留在公共webroot之外.只将一个小的bootstrap PHP文件放入webroot中,这可能会暴露在外,但只有includes其他PHP文件无法公开访问.

感谢你的回答。这就是我要做的 - 我会将其保留在网络根目录之外。我不明白为什么人们现在对这里的任何事情都投反对票。这是一个诚实的问题，我不知道答案。再次感谢。:) (2认同)
@Chiwda Wut？你倒退了.除非通过Web服务器公开公开文件,否则一个简单的`wget`将不会给你任何东西*. (2认同)

Answer 2

有些人可以选择在服务器上读取PHP源文件.

我知道PHP是一种服务器端语言,无法从服务器以外的任何地方读取

这只意味着文件在服务器端处理.这并不意味着源以某种方式绑定到服务器.

+1备份文件; 这是令人不安的共同点.对于使用"includes"或code-as-config的不同文件扩展名的老化实践,例如"database.inc","settings.conf".目录遍历漏洞和本地文件包含漏洞也是意外导致源代码泄露的常见方法. (3认同)