php - 許可が644に設定されているルートハッカーのconfig.phpは安全ですか?

Question

権限が 644 に設定されていても、config.php を Web サイトのルートに配置しても安全ですか?

Answer 1

あなたの config.php はあなたのウェブサーバーから読めるはずです。また、それを他の場所に置いてもあまり役に立ちません。なぜなら、あなたの php コードはそれを読み取ることができるはずなので、サーバー上で彼のコードを実行することに成功したハッカーはそれを読み取ることができるからです。

そのため、どこに置いても、サーバーをハッキングしたハッカーにアクセスされる危険があります。Web ルートに配置することは、他の場所に配置することよりも多かれ少なかれ安全ではありません。

Answer 2

誰もあなたのサーバーに SSH または FTP でアクセスできず、あなたの Web サイトに PHP ファイルのソースに誰でもアクセスできるようなバグやセキュリティ ホールがない限り、これで問題ありません。

Apache ユーザーはそのファイルにアクセスする必要があることに注意してください(そのため、他の PHP スクリプトから含めることができます)。したがって、どこに置いても、ユーザーが PHP ファイルを読み取ることができるセキュリティ ホールがあっても、何も変わりません。

そのファイルをドキュメント ルートの外、または .htaccess ファイルで保護されたディレクトリ内に配置して、誰からのアクセスも拒否することも考えられます。少なくとも、この方法では、サーバーが適切に構成されておらず、 PHP ファイルの場合、そのファイルのコンテンツは表示されません(HTTP 経由で直接アクセス/提供できないため)。

これは、PHP ファイルが他の PHP ファイルのコンテンツを表示できるようにするセキュリティ ホールの場合には役に立ちません(私はそれが起こるのを見てきました)が、それでも最初のステップです。