0
$server = exemplo.com;
$user = root;
$senha = 123;
$conexao = msqli_connect($server, $user, $senha);

Sei que a página php não fica visível para o usuário, mas hoje em dia, não se pode subestimar os cracker. Então gostaria de saber se existe uma forma de esconder a senha, para não ficar tão fácil descobrir que a do meu banco é a 123.

2
  • 2
    Se alguém conseguir acesso aos arquivos de seu servidor não é alguma artimanha para esconder a senha que vai impedir ele de descobrir ela. 3/02/2017 às 21:27
  • Na verdade, você precisa ser mais esperto que o cracker. Geralmente nem se trata de "subestimá-los", mas sim de desleixo do programador que deixa a aplicação toda sambada e insegura. 4/02/2017 às 12:05

1 Resposta 1

3

Não há necessidade disso.

As pessoas que devem acessar o arquivo de configuração de conexão com o banco (ou qualquer outra aplicação dentro da aplicação que utilize senha ou tokens de segurança) deverão ser aquelas que têm autorização para isso.

Você não precisa focar em esconder a senha no seu script, e sim aumentar a segurança da sua aplicação.

As pessoas que geralmente conseguiriam ver a senha desse script de conexão com o banco (sem autorização, digo) são aquelas exploram falhas (ou desleixo, por assim dizer) do programador. Então, se elas conseguirem, por exemplo, invadir o seu servidor (através de um backdoor por exemplo), provavelmente terão acesso a qualquer arquivo que estiver lá.

Não adianta nada tentar tampar o sol com a peneira!

Algumas perguntas abaixo vão assinalar como alguém conseguiria acessar seus dados através de um ataque:

Outro detalhe: Apesar de ser só um exemplo a senha ser "123", isso também é um ponto que você deve evitar, pois uma senha dessas é dar de bandeja acesso ao seu sistema, já que pode ser fácil acertar essa senha.

Armazenar em um arquivo de configuração externo é realmente a opção?

Em uma resposta, alguém poderia sugerir que é uma boa ideia salvar os dados de configuração de senha num arquivo externo. Mas pra ser sincero, qual é a vantagem disso?

Suponhamos que você faça o que fizeram nessa resposta do SOEN (salvar a senha em um arquivo ini). Se o "cracker/atacante" tiver acesso ao servidor, ele pode simplesmente fazer isso em um arquivo:

var_dump(ini_get("mysql.default.password"));

Ele descobriria a senha do mesmo jeito! Então o que valeu usar um arquivo externo para guardar a senha, se no final das contas, ele obteria a senha? Você pode mudar a forma de guardar a senha, mas de toda foram ela precisa ser retornada em algum lugar. O atacante, que não é bobo, vai saber disso.

Alguns pontos da pergunta

Sei que a página php não fica visível para o usuário, mas hoje em dia, não se pode subestimar os cracker.

Não foi o foco da pergunta falar sobre invasão do servidor, mas essa é a única forma de alguém descobrir a senha que está no script PHP.

Se você sabe que o que é escrito em um script PHP não fica visível para o usuário (o cliente, o que usa a aplicação navegador), então qual é seu medo?

Não se preocupe quanto a isso. Ninguém terá acesso ao conteúdo do script.

1
  • Se você quer utilizar uma ferramenta de versionamento como GIT, por favor, não vá usar o Github com acesso público, deixando o arquivo de configuração com o banco de dados exporto lá. É bobo, mas é importante dizer. Alguém poderia esquecer que o Github é público e deixar a conexão com o banco lá. Daí é um abraço. Nesse caso, é importante lembrar de usar um repositório privado, onde só os autorizados terão acesso! 4/02/2017 às 12:39

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .