Хакер, отправляя переменную PHP с другого хоста

Question

Возможно ли взломать веб-сайт, отправив переменную PHP с другого хоста? Например:

У меня есть файл secure_content.php:

<?php 
    if($fgmembersite->Login()) //placed at the top to avoid the warning: headers already sent 
    { 
    $login = TRUE; 
    } 
    //intentionally removed {else $login === FALSE} 

    // echo some contents 

    if ($login === TRUE) 
    { 
    //echo secure data 
    } 

    else 
    { 
    echo "You are not authorised to view this content"; 
    } 
?> 

и атакующего есть файл в своем веб-сервере с именем: hack.php

<?php 
$login = TRUE; 
require_once "http://mywebsite.com/secure_content.php"; 
?> 

1. Можно ли хакер для просмотра защищенного контента?
2. Как избежать обработки наших скриптов с использованием include/require с другого веб-сервера?

Answer 1

Нет, обработка сценариев с другого веб-сервера невозможна. Ваш сервер не будет отдавать весь исходный код PHP удаленному серверу, скорее он даст результат запуска вашего скрипта. Здесь не беспокойтесь.

Вы не можете избежать обработки своих сценариев с помощью include с другого веб-сервера, потому что это невозможно в первую очередь. Поэтому нечего мешать.

Answer 2

Как сказал Денис, хотя я хочу добавить несколько интересных выходок из личного опыта администрирования сайтов.

Люди часто переименовывают свои скрипты php в нечто вроде secure_content.php.back при редактировании файла - бойтесь. Как и тогда, злоумышленник может загрузить ваш PHP-скрипт (secure_content.php.back). Наличие исходного кода недостаточно для захвата переменных, но уже является уязвимостью. Это будет получить усиливается, если ваш secure_content.php.back имеет некоторые конфигурационные переменные, такие как $database_password

Кроме того, если вы хотите удалить PHP с вашего веб-сервера, Apache (или любой другой) будет служить вашей secure_content.php в виде текстового файла - это также риск. Просто имейте в виду, когда вы хотите возиться с вашим движком PHP.

Answer 3

Нет. Ваш сервер запустит скрипт, а затем отправит результаты злому серверу.

Аналогичная вещь, о которой вы упоминаете, может возникать в более старых версиях PHP, если включен register_globals. Это позволит кому-то позвонить http://mywebsite.com/secure_content.php?login=true.

Это приведет к тому, что $login будет установлено значение true в начале сценария. К счастью, register_globals теперь отключен по умолчанию и устарел в 5.3 и удален в 5.4. См. here.