ANTICHAT — форум по информационной безопасности, OSINT и технологиям

Ну правильно, а ведь на чтение конфига еще права апачу надо дать, так что с шелла прочитать можно будет, а вот назапись в диру поставь права только твоему юзеру, шелл будет сложнее уже залить от другого юзера )

Если положить файл удаленно, то все равно будешь к нему обращаться через файл своего форума, что мешает подконектиться по фтп и посмотреть спосою выбирания пароля(ты же как-то будешь получать этот пароль в скрипте)...
Даже если доступ от одного конкретного файла, что мешает тем же шеллом дописать тебе в конец этого файла любой код (например тот, что записывает удаленно логин и пароль от твоей бд)

Если у юзера есть права на запись, он просто повторит действия твоего скрипта, куда бы не прятать файл паролей!

Остаеться права доступа или шифрования, или ПЕРЕЙТИ НА ДРУГОЙ ХОСТИНГ

Будут мешать правильные права, на папку 555 а на файлы 444. таким образом редактированию не подлежит.

лучший способ это естественно чтобы в конфиге сделать инклуд на текстовый файл на другом хосте, но как сделать чтобы другой хост отследил точный путь файла а не только IP

2Naydav: Немного непонятно что ты хотел сказать вышенаписанным =\
2Nightmare: По Referer, только его и подделать можно...

А что помешает залить шелл и дописать в твой конфиг, где инклуд -
считку логина и пароля и запись их в файл на удалленном компе

Ну если в одном файле инклуд другого - это и есть один тот же файл получаеться

Твой конфиг подключает файл с паролями, определенным набором функций - значит так же любой может подключить этот файл и повторить набор этих функций(которые он может посмотреть скачав твой файл)
ДАЖЕ у тебя в твоем конфиге он может получить пароли( он просто допишет вниз код который сохранит ему пароли)

Редирект посетителей в зависимости от рефера (ссылающейся страницы):

Можно конечно комбинировать рефер и юзер агент(вернее его отсутствие), но как поведет себя .htaccess, если подключиться по телнету и передеть все, что угодно и в рефер и юзер-агенте

Так почему не перейти на другой хостинг?

Ы, как вариант

Но только не понимаю, что мешает поставить права на запись в веб диру только одному юзеру - как одно из средств борьбы с заливкой шелла...а вот на конфиг поставить права на чтению тока твоему юзеру и апачу\nobody...соответсвенно другие юзеры, которые имеют доступ к фтп - не смогут прочитать config.php( и соответсвенно в веб диру писать не смогут), а апач сможет прочитать конфиг...

ЗЫЖ Дабы сбить с толку переименуй его в какойнить showpost.php ) Можешь еще создать фейковый config.php с левыми данными, но это все баловство, так - чтобы сбить с толку потенциального "хэкира"

Значит меня сейчас поситила ещё одна интересная идея.

Смысл вот в чём, смотрите вот конфигурационный файл от форума:
http://site.com/forum/config.php, он посылает запрос на второй файл скрипту, где хранятся пароли сюда:
http://secret.com/script.php, а этот скрипт в ответ отсылает пароли (незнаю может параметром, может ещё как) ТОЛЬКО на определённый URL сюда: http://site.com/forum/config.php.

Тогда будет непробиваемая защита пароля, скрипт по адресу:
http://site.com/forum/config.php нельзя удалить или заменить или модифицировать ибо на нём права 444, а на папках права 555, редактированию не подлежат.
А скрипт http://secret.com/script.php отсылает инфу на URL который подменить никак нельзя.

Ну и собственно вопрос, может кто нибудь поможет с реализацией???
Нужен php код обоих скриптов как это реализовать, кто сможет помочь в этом деле, помогите плииз!!!

тему можно закрывать во избежание флуда.
я уже описал способы в теме вопосы по php, ответов нет.
не надо писать тут идеи про редактирование и т.д...
нет так нет