[Linger]

Hallo liebe Community!!

Ich habe leider nichts Passendes über die Suche gefunden - falls das Thema dennoch schonmal diskutiert wurde, hier schonmal ein ernst gemeintes "Tschuldigung" vorab...

Nun zum Eigentlichen:
Ich habe eine MySQL-Datenbank-Application mittels PHP realisert und dabei die Zugangsdaten zur Datenbank in einer extra Datei abgelegt, die in etwa so aussieht:

$dbhost='host.zur.db';
$dbuser='username';
$dbpass='password';
...


Diese Datei (PHP) hole ich mir via INCLUDE in das jeweilige Skript und erzeuge dort mein Datenbank-Handle. Das funktioniert auch alles dufte - nun aber das "Problem":

Wie verhindere ich es, dass sich jemand Fremdes diese PHP-Datei mit den DB-Zugangsdaten in ein eigenes Skript INCLUDEd und mittels GET_DEFINED_VARS() meine Daten ausliest??? Wenn auf dem Server des Fremden die Option "Allow_URL_fopen" auf ON gesetzt ist, ist das INCLUDEn meiner Datei ohne Probleme möglich.

Ich weiß, dass diese Art der Zugangsdatenspeicherung gängige Praxis bei PHP-MySQL-Anwendungen ist, aber scheinbar läßt sich das Auslesen irgendwie verhindern - ich habe zumindest im Netz nix gefunden, was ein Hijacking der Daten auf dem von mir beschriebenen Weg bestätigt... (Kann das leider nicht einfach testen, da mein Provider "Allow_URL_fopen" auf OFF gestellt hat.


Ich beschäftige mich erst seit etwa einem halben Jahr mit PHP und habe keine Ahnung, wo ich noch nach einer Antwort auf meine Frage suchen könnte (vielleicht gibts ja für das Problem sogar einen eigenen Begriff...) daher hoffe ich hier auf Lösungsansätze.


Besten Dank schomal vorab und
beste Grüße!!
Linger

[pRiMUS]

auf servern, wo jedermann ausserhalb seines "home" verzeichnisses daten einlesen kann, würde ich mich eh fern halten.

denn schützen kannst du dich gegen sowas, wenns möglich ist, nicht.

[tacker]

Grundsätzlich ist das gar nicht möglich.
Ruf doch mal deine PHP-Datei mit den Variablen im Browser auf.
Was siehst Du?!
Nix.
Genau das kommt auch beim Angreifer an.
Das gilt natürlich nur, wenn deine Datei auch eine PHP-Endung hat (meist .php).
Wenn Du sowas wie .inc verwendest, wird die Datei nicht automatisch von PHP geparst und wird vom Webserver als reine Text-Datei behandelt.

Desweiteren bringen einem Angreifer die Zugangsdaten nix, da in den meisten Fällen die Datenbank nur Verbindungen vom lokalen Rechner zulässt und nicht von extern.

[pRiMUS]

[tacker]

Unerlaubte Includes brauchen aber kein "allow_url_fopen" sondern gehen einfach per include/require.
Von daher dachte ich an fremde Angreifer.

Und da hast Du natürlich recht. Wenn sowas geht, sollte man keine sensiblen Daten haben und bald den Hoster wechseln.

[Linger]

Erstmal besten Dank für die flinken Antworten!!
Leider sind sie nur teilweise zutreffend - wahrscheinlich habe ich mich etwas unglücklich ausgedrückt.

Das „Sicherheitsproblem“ liegt nicht bei meinem Hoster sondern bei dem des (fiktiven) Angreifers:
Nehmen wir mal an, meine Domain ist „sauberedomain.de“ beim Hoster A – dort sind dann die Zugangsdaten zur Datenbank z.B. unter „guestbook/database.inc.php“ abgelegt.
Diese „database.inc.php“ könnte dann, wie eingangs schon mal aufgeführt, so aussehen:

[tacker]

[pRiMUS]

exakt, alles was irgendwie durch den php interpreter geschickt wird (und das wird zunächst alles, es sei denn man includet direkt auf dem gleichen server) resultiert in blankem html.