PHP Code Anzeigen lassen?
Gibt es eine Möglichkeit auf einer webseite denn PHP Code Anzeigen zu Lassen? Nur Legale Sachen!
2 Antworten
Wenn du damit meinst, von einer PHP-Seite, die nicht dir gehört, den PHP-Quellcode anstatt die Ausgabe zu sehen - das ist nicht möglich. PHP wird vom Server ausgeführt.
Das PHP-Modul im Apache-Server stürzt gerne mal ab, wenn es zu viele Anfragen gibt, worauf der Apache Server tatsächlich den PHP Quelltext ausliefert, ohne diesen vorher zu interpretieren!
Das wird oft von Hackern (aber meistens wohl von dummen Kinden) mithilfe eines DoS oder DDoS Angriffs ausgenutzt, um an den PHP-Quelltext, und die darin enthaltenen SQL-Passwörter zu gelangen.
Und wenn jemand glaubt, das sei schwierig oder sowieso nur in Einzelfällen möglich, der irrt ... denn exakt dieses Verhalten kann man hier bei GuteFrage.net beobachten, wenn zu viele User unterwegs sind, und der Load-Balancer es nicht schafft die "Steht da jemand auf der Leitung" Seite vorzuschalten.
Ich hatte innerhalb des letzten Jahres mehrfach "Glück" genau in dieses Zeitfenster zu tappen, und habe so die SQL-Server Adressen, Passwörter, Usernamen und Ports im Klartext erfahren. Von großen Teilen des Quelltextes ganz zu schweigen, an denen man sehen konnte, dass GF z. B. die Passwörter der User als SHA-Hash abspeichert, inklusive dem dazugehörigen Alphanumrerischen Salt. Ansonsten ist der PHP-Quelltext von GF nicht wirklich ordentich, und Variablen bzw. Funktionsnamen sind in schlechtem / falschen Englisch teilweise mit Deutsch gemischt. :)
Da ich vor dieser Erfahrung schon diverse Code-Injektion- und XSS-Lücken auf GF gefunden hatte, die trotz mehrfacher Meldung einfach nicht gefixt wurden, hat mich das ganze aber auch nicht weiter gewundert! :)
Immerhin sind die SQL-Server nur hinter der DMZ von GF erreichbar, sodass ein direkter Zugriff vom Internet her nicht möglich ist. Aber anhand der geringen Server Anzahl wundert es mich überhaupt nicht, dass GF so oft down ist ... und die Load-Verteilung ist auch alles andere als optimal geregelt.
Fazit:Wie du siehst, kann man sehr viel (wenn nicht alles?) über eine Website erfahren, wenn mal wieder das PHP-Modul abschmiert. Und dazu war meinerseits nicht mal eine einzige Aktion nötig! Ich habe einfach meine Profilseite angeklickt, und GF hat mir einen zich Megabyte großen PHP Quelltext ausgeliefert.
Ich schreibe jetzt hier nicht alles dazu, was ich so erfahren habe, aber a) gibt es außer mir garantiert noch weitere Leute, die den Quelltext zu Gesicht bekamen, und b) würde ich meine Mail-Passwort-Kombination von GF nirgendwo anders benutzen. Es ist nur eine Frage der Zeit, bis diese Website hier in großem Stil gehackt wird! (Obwohl es hier ja eigentlich nichts zu holen gibt!)
