Databasepassord i klartekst i wp-config.php

[zapotek]

Så vidt jeg vet er det umulig å lese innholdet i en .php fil uten FTP tilgang, likevel synes jeg det høres risky ut at databasepassordet står i klartekst som standard i wp-config.php.

For å sikre meg mot dette har jeg følgende kode i htaccess:

<files wp-config.php>
order allow,deny
deny from all
</files>

Men er dette egentlig nødvendig? Er det virkelig helt klin umulig å få tak innholdet i en php-fil uten å ha FTP-tilgang?

 

[aabbcc]

Hvordan skal php-fila få lest databasen uten å ha passordet? Man kan jo kanskje ha php-fila som kobler opp mot databasen i en mappe som ikke ligger i webfolderen som en sikkerhet?

Spør bare av interesse, sikkerhet skulle jeg gjerne visst mer om.

AABBCC

 

[adeneo]

Så vidt jeg vet er det umulig å lese innholdet i en .php fil uten FTP tilgang

Det er faktisk ikke umulig i det hele tatt. En liten feil i oppsettet av serveren kan åpne opp for å se mapper og laste ned filer direkte fra serveren, hvor PHP koden er helt synlig.
Mangel på skikkelig validering kan gjøre det samme, og dersom det ikke er noe filter på verdier som kommer fra brukeren, det være seg POST, GET eller for den saks skyld cookies, kan man eval'e PHP koden eller bruke en rekke andre funksjoner som gjør det mulig å se koden, og dersom databasen ikke er sikret skikkelig kan load_file() osv. gjøre det samme.

Det beste er å passe på at alt er sikkert, og helst at alt som har med konfigurasjon osv. ikke ligger tilgjengelig på webroot, men ligger i mapper høyere opp, og at det ikke er mulig å bruke ting som file_get_contents til å hente filer og dytte ut all koden rett i nettleseren.

Ingenting er sikkert, men normalt så er vel wordpress forholdsvis sikkert hvis det er satt opp en godt sikret server.