è possibile accedere da remoto a un file php ?

[Zenek]

Salve!

So bene che i file php sono server-side, quindi se tentiamo di scaricare un file php che non è sulla nostra macchina, riusciamo a scaricare unicamente la parte html ( che in questo caso è vuota).
La mia domanda era. Se dovessi conoscere la struttura di un file php ( cioè cosa contiene in termini di variabili, strutture etc...), sarebbe possibile fare delle richieste da remoto per ottenere quei dati ?

In pratica:

Se creo una connessione SQL codificata in PHP, posso eseguire delle richieste da remoto al file php per "scovare" i dati?

 

[Ibernato]

Salve!

So bene che i file php sono server-side, quindi se tentiamo di scaricare un file php che non è sulla nostra macchina, riusciamo a scaricare unicamente la parte html ( che in questo caso è vuota).
La mia domanda era. Se dovessi conoscere la struttura di un file php ( cioè cosa contiene in termini di variabili, strutture etc...), sarebbe possibile fare delle richieste da remoto per ottenere quei dati ?

In pratica:

Se creo una connessione SQL codificata in PHP, posso eseguire delle richieste da remoto al file php per "scovare" i dati?

Quello che vuoi fare te si chiama SQL injection.
Quest'attacco lo si fa solamente se il back-end è scritto male e non ci sono gli opportuni filtri.
Non entro nello specifico per evitare che tu possa combinare casini.

Per collegarti al database devi avere le credenziali e poi non tutti gli host permettono di accedere dall'esterno, ma devi trovarti all'interno (altervista per esempio). Quindi dovresti caricare lo script sul server.

Che vuoi combinare :) ? Sappi che è illegale fare una cosa del genere e ci sono pene che vanno da una multa alla galera.
Non scherzare con il fuoco se non sai nascondere l'identità.

@DareDevil_ @Mursey @Moffetta88
forse va contro il regolamento? Evitiamo di farlo arrestare ahahah

 

[Zenek]

Anzi tutto ti ringrazio per la risposta e, nooo sono assolutamente dall'altra parte. Chiedevo per difesa, non per attacco. Appena ho 2 secondi liberi, spiego meglio il concetto !

Post unito automaticamente: 17 Luglio 2019

Allora, mi hanno creato un piccolo sito per una piccola attività. Il sito si connette al database (mysql) utilizzando un file di configurazione scritto in php. Questo file contiene il seguente codice:

<?php
// Database Server (example localhost or 127.0.0.1)
$DB_SERVER = "localhost";
// Database User
$DB_USER = "root";
// Database Password
$DB_PASS = "";
// Database Name from CMS
$DB_NAME = "cms";

// Database Names
$DB_1 = "2019_char";
$DB_2 = "2019_auth";
$DB_3 = "2019_auth";


/*
$DB_SERVER, $DB_USER, $DB_PASS, $DB_NAME, $DB_1, $DB_2, $DB_3, $AutoPlay, $DragOrientation
*/


Ora, siccome le source del sito sono state poi rese pubbliche, volevo sapere se corro qualche rischio: C'è la possibilità che qualcuno crei delle chiamate dal proprio pc, e che il file php mostri i dati sensibili ?

 

[Ibernato]

Anzi tutto ti ringrazio per la risposta e, nooo sono assolutamente dall'altra parte. Chiedevo per difesa, non per attacco. Appena ho 2 secondi liberi, spiego meglio il concetto !

Post unito automaticamente: 17 Luglio 2019

Allora, mi hanno creato un piccolo sito per una piccola attività. Il sito si connette al database (mysql) utilizzando un file di configurazione scritto in php. Questo file contiene il seguente codice:

<?php
// Database Server (example localhost or 127.0.0.1)
$DB_SERVER = "localhost";
// Database User
$DB_USER = "root";
// Database Password
$DB_PASS = "";
// Database Name from CMS
$DB_NAME = "cms";

// Database Names
$DB_1 = "2019_char";
$DB_2 = "2019_auth";
$DB_3 = "2019_auth";


/*
$DB_SERVER, $DB_USER, $DB_PASS, $DB_NAME, $DB_1, $DB_2, $DB_3, $AutoPlay, $DragOrientation
*/


Ora, siccome le source del sito sono state poi rese pubbliche, volevo sapere se corro qualche rischio: C'è la possibilità che qualcuno crei delle chiamate dal proprio pc, e che il file php mostri i dati sensibili ?

Che host è?
E' stato reso pubblico anche l'ip del database?
Il DB è ospitato sullo stesso host dell'applicazione?
Se si, male perchè Web server e DB dovrebbero eseguire su macchine separate. Ma, tralasciando questo fatto, rispondi alla domanda che ti ho fatto.

 

[Zenek]

Che host è?
E' stato reso pubblico anche l'ip del database?
Il DB è ospitato sullo stesso host dell'applicazione?
Se si, male perchè Web server e DB dovrebbero eseguire su macchine separate. Ma, tralasciando questo fatto, rispondi alla domanda che ti ho fatto.

No, IP del database non è pubblico, è pubblica solo la struttura del sito, ma ho paura che si possa accedere da "remoto" conoscendo la struttura del file di configurazione. Non parlo di SQL Injection, parlo di un Remote PHP Attack (che non so se esiste). Purtroppo si, il DB è ospitato sullo stessa macchina per problemi di terze parti

 

[Ibernato]

No, IP del database non è pubblico, è pubblica solo la struttura del sito, ma ho paura che si possa accedere da "remoto" conoscendo la struttura del file di configurazione. Non parlo di SQL Injection, parlo di un Remote PHP Attack (che non so se esiste). Purtroppo si, il DB è ospitato sullo stessa macchina per problemi di terze parti

Bhe, sicuramente non starei tranquillo, dato che nel file ci sono anche o nomi delle tabelle del DB da come vedo.
So che il DB è sullo stesso host e addirittura che hai i privilegi di root (dato che l'user è root).

Il sito ha tutti i filtri al suo interno per evitare attacchi?

 

[Zenek]

Bhe, sicuramente non starei tranquillo, dato che nel file ci sono anche o nomi delle tabelle del DB da come vedo.
So che il DB è sullo stesso host e addirittura che hai i privilegi di root (dato che l'user è root).

Il sito ha tutti i filtri al suo interno per evitare attacchi?

si, ma quella è la struttura "pulita", ovviamente al posto di localhost e password, ho inserito quelle del mio DB. è possibile che utilizzano questo file php da remoto per fare delle chiamate e scoprire i dati ?

 

[Ibernato]

si, ma quella è la struttura "pulita", ovviamente al posto di localhost e password, ho inserito quelle del mio DB. è possibile che utilizzano questo file php da remoto per fare delle chiamate e scoprire i dati ?

cambia le credenziali allora.

 

[Zenek]

Non è questo il punto. Le credenziali sono cambiate e ho spostato i DB su di un nuovo server, ma se chi riceve le source sa com'è la struttura del file php, è possibile che da "remoto" invia delle richieste allo stesso per vedere le credenziali ?

 

[Ibernato]

Non è questo il punto. Le credenziali sono cambiate e ho spostato i DB su di un nuovo server, ma se chi riceve le source sa com'è la struttura del file php, è possibile che da "remoto" invia delle richieste allo stesso per vedere le credenziali ?

Ma perchè hai quella struttura del file?
Non potevi creare un semplice file php su cui facevi la connessione al DB e inserivi li le credenziali?
Poi il resto ok, lascia così.
Per vedere il file php devi avere accesso all'hosting, non credo che possano recuperare informazioni.
Puoi mettere un controllo di accesso su chi può accedere a quel file.

 

[Zenek]

Ma perchè hai quella struttura del file?
Non potevi creare un semplice file php su cui facevi la connessione al DB e inserivi li le credenziali?
Poi il resto ok, lascia così.
Per vedere il file php devi avere accesso all'hosting, non credo che possano recuperare informazioni.
Puoi mettere un controllo di accesso su chi può accedere a quel file.

Perfetto ti ringrazio, quel file di configurazione serve per collegare il sito al db e accettare le registrazioni ! Se comunque non possono fare richesite in remoto allora sto tranquillo !

 

[Ibernato]

Perfetto ti ringrazio, quel file di configurazione serve per collegare il sito al db e accettare le registrazioni ! Se comunque non possono fare richesite in remoto allora sto tranquillo !

Ma serve perchè te lo impone l'hosting di avere quel tipo di file?

 

[Zenek]

No, in verità è parte del CMS. Si lo so, potrei cambiare tutta la struttura e tagliare la testa al toro, ma non vedo perchè modificare: non ho aggiunto eccezioni per la quale il file php è accessibile da remoto. Volevo solo sapere se eseguendo richieste al server e conoscendo la struttura del file, c'era la possibilità che scovassero i dati.

 

[Ibernato]

No, in verità è parte del CMS. Si lo so, potrei cambiare tutta la struttura e tagliare la testa al toro, ma non vedo perchè modificare: non ho aggiunto eccezioni per la quale il file php è accessibile da remoto. Volevo solo sapere se eseguendo richieste al server e conoscendo la struttura del file, c'era la possibilità che scovassero i dati.

nel file sono presenti i nomi delle tabelle, quindi se il sito non è ben fatto, un attaccante potrebbe tentare un attacco di SQL Injection come ho detto nel primo post.

 

[Zenek]

nomi delle tabelle, indirizzo ip, id, psw sono stati cambiati