將phpinfo（）暴露給最終用戶可能會產生哪些安全問題？

如果向最終用戶顯示phpinfo()轉儲，惡意用戶可以使用該信息做的最糟糕的事情是什麼？什麼領域是最不安全的？也就是說，如果您公開展示您的phpinfo()，那麼在關閉它後，您應該在哪裏觀看/關注惡意漏洞攻擊？將phpinfo（）暴露給最終用戶可能會產生哪些安全問題？

來源

2010-07-07 Yahel

瞭解你的文件系統的結構可能讓黑客執行目錄遍歷攻擊，如果你的網站很容易受到他們。

我覺得暴露phpinfo（）函數自身並不一定風險，但與另一種組合的漏洞可能會導致您的網站變得妥協。

很顯然，黑客對你的系統的信息越少越好。禁用phpinfo（）將不會使您的網站安全，但會使它變得稍微困難一些。

來源

2010-07-07 15:16:45

-6

黑客可以利用這些信息來查找漏洞並破解您的網站。

來源

2010-07-07 15:08:11 mcandre

+23

你幾乎不可能更模糊。 – Artefacto 2010-07-07 15:10:26

這是非常模糊的。「黑客他的網站」？怎麼樣？什麼樣的漏洞？你能舉出一些可能以這種方式揭示的漏洞的例子嗎？ – Hammerite 2010-07-07 15:11:15

只需Google'phpinfo hack'即可。版本信息和安裝的模塊構成黑客可用於攻擊舊版和未修補版本中的特定漏洞的信息。 – mcandre 2010-07-07 15:14:42

除了明顯的喜歡能夠看看register_globals開啓，並在文件可能位於您的include_path，還有所有的$_SERVER（$_SERVER["DOCUMENT_ROOT"]可以提供線索，以確定一個相對路徑名/etc/passwd）和$_ENV信息（這是驚人的人們存儲在$_ENV，如加密密鑰）

來源

2010-07-07 15:13:08

-7

老實說，沒有太大的。就我個人而言，我經常離開phpinfo()頁面。

如果你有一些嚴重的錯誤配置（例如PHP作爲root運行），或者你使用一些擴展或者PHP本身的舊的和脆弱的版本，此信息將會更暴露。另一方面，你也不會受到保護，不會暴露phpinfo();你應該改爲讓你的服務器保持最新並且正確配置。

來源

2010-07-07 15:15:08 Artefacto