当前时区为 UTC + 8 小时



发表新帖 回复这个主题  [ 7 篇帖子 ] 
作者 内容
1 楼 
 文章标题 : [讨论]关于PHP下MYSQL明文密码保护的一点设想
帖子发表于 : 2007-06-29 14:57 

注册: 2006-09-29 5:11
帖子: 1005
送出感谢: 10
接收感谢: 4
首先:前提是我讨论的是本地服务器,UBUNTU+NANOWEB服务器+MYSQL+PHP,别人没有UBUNTU的root口令,但是有普通user帐号或者能随时用你的计算机。

PHP+MYSQL用了将近N年了,一个问题一直困扰我,就是PHP数据库连接的明文口令安全。开始是因为服务器装在WINDOWS下,现在在LINUX下情况好点了,但还是不安全。因为如果别人来用我的计算机,很容易能看到我的MYSQL密码,很多数据库下的敏感数据就危险了。这几天,我考虑了一个方案,不知道可行不可行。

1、把MYSQL口令存放在一个php文件中(如mypass.php),文件放在很深的目录中,如“/a/b/c/d/"下。该文件的内容为<META HTTP-EQUIV=Refresh CONTENT='0; URL="null.php'>\n(分行)<!--password>

2、WEB服务器设置一个ALIAS目录指向'/a/b/c/d/'这个目录,把配置文件中目录索引文件加上"mypass.php"。这样在php页面文件中引用地址为"localhost/alias/". 然后用fgets读取文件内容,分离出文件中的password.

3、把所有相关目录权限设为不能ls,然后把服务器设置文件权限设为600。WWW下文件权限为只读,目录权限为只读。

以上方案不知道可行否。这样通过查看php源码无法看出来含密码明文的文件的路径和名称,只要系统root口令不泄露。

帮我想想看还有没有什么漏洞呵呵。。。


_________________
Dell D620 -> Asus U44SG
Dapper->Edgy->Feisty->Gutsy->Hardy->Karmic->Lucid -> Oneric -> Precise->Trusty
Python+JS

Firefox/Thunderbird 插件接活中。。。


页首
 用户资料  
 
2 楼 
 文章标题 :
帖子发表于 : 2007-06-29 15:21 

注册: 2007-02-15 6:26
帖子: 356
送出感谢: 0 次
接收感谢: 1
是否也可这样:
1. passwd.php readonly by www

2. passwd.php内容
引用:
<?php
function connect_mysql()
{
return mysql_connect('host','user','password');
}
?>


3. 上面的页面,通过web无法显示。
4. 但是,apache 的www用户仍然可以读到你的密码。
5. 一般,web的MYSQL用户权限越小越安全。以防不测。

楼下继续。。。


_________________
2007:琉璃地,旃檀林。心心作。念念是。


页首
 用户资料  
 
3 楼 
 文章标题 :
帖子发表于 : 2007-06-29 16:27 

注册: 2006-09-29 5:11
帖子: 1005
送出感谢: 10
接收感谢: 4
楼上的是个方法。我对linux的文件权限不太熟。但是好像别人可以随便写个php就可以读出来吧?


_________________
Dell D620 -> Asus U44SG
Dapper->Edgy->Feisty->Gutsy->Hardy->Karmic->Lucid -> Oneric -> Precise->Trusty
Python+JS

Firefox/Thunderbird 插件接活中。。。


页首
 用户资料  
 
4 楼 
 文章标题 :
帖子发表于 : 2007-06-29 17:46 

注册: 2007-02-15 6:26
帖子: 356
送出感谢: 0 次
接收感谢: 1
是阿。我是说了:2楼第4点。

但是1楼的第2条用ALIAS不是一样被读取的吗?

我对Linux文件系统更不懂。


_________________
2007:琉璃地,旃檀林。心心作。念念是。


页首
 用户资料  
 
5 楼 
 文章标题 :
帖子发表于 : 2007-06-29 18:04 
头像

注册: 2006-04-12 20:05
帖子: 8495
地址: 杭州
送出感谢: 0 次
接收感谢: 8
恩,继续讨论,关注中...


_________________
关注我的blog: ε==3


页首
 用户资料  
 
6 楼 
 文章标题 :
帖子发表于 : 2007-06-30 8:45 

注册: 2006-09-29 5:11
帖子: 1005
送出感谢: 10
接收感谢: 4
sqlfm 写道:
是阿。我是说了:2楼第4点。

但是1楼的第2条用ALIAS不是一样被读取的吗?

我对Linux文件系统更不懂。


是查不多。但是你那个简单多了。

我又把所有的www目录和下面文件改成 www:www, 600。这样应该没有问题了。Linux就是好。

谢谢2楼。


_________________
Dell D620 -> Asus U44SG
Dapper->Edgy->Feisty->Gutsy->Hardy->Karmic->Lucid -> Oneric -> Precise->Trusty
Python+JS

Firefox/Thunderbird 插件接活中。。。


页首
 用户资料  
 
7 楼 
 文章标题 : 可以写到一个不可破解的文件中去吗?
帖子发表于 : 2007-12-16 14:36 

注册: 2007-12-16 14:32
帖子: 1
送出感谢: 0 次
接收感谢: 0 次
如windows下的dll,再通过COM组件的方式读回来。同时再用Zend Guard 4.0来加密,混淆读取函数。就算是破解也无法得到正确的dll入口函数了。
如果在Linux中,也有*.so文件提供动态链接的功能。也可以一试。不知道是否可行。


页首
 用户资料  
 
显示帖子 :  排序  
发表新帖 回复这个主题  [ 7 篇帖子 ] 

当前时区为 UTC + 8 小时


在线用户

正在浏览此版面的用户:没有注册用户 和 1 位游客


不能 在这个版面发表主题
不能 在这个版面回复主题
不能 在这个版面编辑帖子
不能 在这个版面删除帖子
不能 在这个版面提交附件

前往 :  
本站点为公益性站点,用于推广开源自由软件,由 DiaHosting VPSBudgetVM VPS 提供服务。
我们认为:软件应可免费取得,软件工具在各种语言环境下皆可使用,且不会有任何功能上的差异;
人们应有定制和修改软件的自由,且方式不受限制,只要他们自认为合适。

Powered by phpBB © 2000, 2002, 2005, 2007 phpBB Group
简体中文语系由 王笑宇 翻译