Максимална защита на config.php

[anonimen]

ХА! Открих нещо: http://www.w3.org/Protocols/rfc2616/rfc2616-sec5.html#sec5.1.1

The list of methods allowed by a resource can be specified in an Allow header field (section 14.7). The return code of the response always notifies the client whether a method is currently allowed on a resource, since the set of allowed methods can change dynamically. An origin server SHOULD return the status code 405 (Method Not Allowed) if the method is known by the origin server but not allowed for the requested resource, and 501 (Not Implemented) if the method is unrecognized or not implemented by the origin server. The methods GET and HEAD MUST be supported by all general-purpose servers. All other methods are OPTIONAL; however, if the above methods are implemented, they MUST be implemented with the same semantics as those specified in section 9.

Оттук следва, че ако изпратиш GETS заявка, сървърът ще отговори със Status:501 not implemented
На мен това ми изглежда като добра защита срещу на lamerko атаката с gets...

 

[dakata__92]

Само не разбрах каква е тази GETS заявка...
http://example.com/public/?gets=блаблаблабла
anonimen: кое излиза, че ще е добър превент .htaccess-а ли?

 

[anonimen]

Само не разбрах каква е тази GETS заявка...
http://example.com/public/?gets=блаблаблабла
anonimen: кое излиза, че ще е добър превент .htaccess-а ли?

To gets няма, както се вижда от линка, който дадох. Според мен lamerko има предвид да си направи собствена заявка, наречена gets (все едно GET и РОSТ, но нещо друго). Това се чудя и аз - защо? Какво ще направи тя?
Но съм убеден, че .htaccess НЕ се влияе от типа заявка. За него няма значение дали е post или get.

 

[dakata__92]

При мен си изкарва каквото и да подам към директорията ерор 403 Access forbidden!Единствено от вътрешен код когато си извикам нещата си работи. Външният достъп ми е забранен. Anonimen виж аз какво набарах: http://cd34.com/blog/web-security/hackers-bypass-htaccess-security-by-using-gets-rather-than-get/

 

[dakata__92]

Дааа явно е много важно какво имаш в .htaccess файла. Но все пак няма да мине атаката, когато проверяваш URL адреса за нежелани символи и $_SERVER["REQUEST_METHOD"] дали е GET или POST. Ммм в случаят lamerko пак нямаше да получиш достъп до системата ми заради филтъра на адрес бара и най-вече заради проверки в рутера. Но ако се замисля реално погледнато този филтър не работи тъй като изкарва ерор ииии нещо ми се струва, че пак пропускам, затова пак продължаваме да се ровим :?: Впрочем, расъждавам си за да открием решение на проблема