Sicherheit von include

[Wuaschdl]

Hallo,

eine Frage zur Sicherheit des Include-Befehls.

Ich trage meine Datenbankdaten für eine mySQL (Passwort, db-name etc.) in eine inc-Datei ein (z.B. db.inc.php).
Beim abfragen einer Seite (z.B. aufgerufene_seite.php) wird die db.inc.php per include geladen und die entsprechenden Variablen dann in das mySQL/PHP-Script eingetragen.

Gibt es eine Möglichkeit von einem externen Server aus ein Script laufen zu lassen, dass meine Variablen ausliest?
z.B. per "include aufgerufene_seite.php";
"zeig alle Variablen der aufgerufenen_seite.php an";

Wenn ja, wie kann man sich davor schützen?

//Edit

Zum Beispiel! Aber Ihr diskutiert m.E. am Punkt vorbei - ich kann von einer fremden Domain aus keine php-Dateien includen, wenn diese eine bei Apache als PHP registrierte Endung haben.

Ist das die Antwort auf meine Frage (..includen von anderen Domains aus nicht möglich...)?

[wahsaga]

Re: Sicherheit von include

Original geschrieben von Wuaschdl
Gibt es eine Möglichkeit von einem externen Server aus ein Script laufen zu lassen, dass meine Variablen ausliest?

wenn du deine include-dateien mit der endung .php versiehst - nein.

dann wird dein server bei jeder anforderung der datei über http diese zuerst parsen, so dass kein php-quellcode mehr in der ausgabe zu sehen ist.

an den quellcode kommt man nur über ftp dran, oder als ein anderer benutzer auf dem selben server, wenn dieser auch in deinen verzeichnissen leserechte über das dateisystem hat (was bei einem guten hoster aber auch nich möglich sein sollte).

[Wuaschdl]

Auch wenns Spam ist:

Vielen Dank