有人可以從我的服務器外訪問我的數據庫嗎？

Question

我試圖“ 谷歌黑客 ”我的網站，看看發生了什么（我最近讀到了它），我搜索site:www.x.com intitle:"index of" "server at" + db 。

並在三個目錄中找到了一個.inc文件。

<?php 
    class clsSettings
    { 
        var $site   = "localhost"; 
        var $sitedb = "x"; 
        var $siteuser = "x"; 
        var $sitepass     = "x";
    } /* settings */
?>

有人可以從我的服務器外訪問我的數據庫嗎？

我應該擔心這種敏感的信息曝光嗎？

注意：我使用X s刪除了敏感信息。

Answer 1

這就是為什么你沒有將.php以外的任何文件命名為.php 。 您可以將服務器配置為根據需要將.inc文件或任何文件擴展名解析為PHP，但這不是常見配置，尤其是在共享服務器上。

如果您可以看到包含密碼的文件內容，那么世界其他地方也可以。 此外，Aziz關於更改robots.txt的評論對你沒有任何幫助。 事實上，您可以通過這種方式提醒您注意隱藏的內容，因為任何試圖訪問您網站的人都不會遵循robots.txt中的規則。

除非由於某些特定原因需要它，否則通常不允許自動目錄索引。

Answer 2

我相信您通過將文件擴展名重命名為.php來解決此問題。

在服務器上使用新密碼執行此命令（即通過SSH）：

mysqladmin -u root -p 'oldpassword' password newpass

然后更改所有引用的PHP文件的密碼。

此外，您可能需要創建一個“機器人陷阱”來停止不遵循robots.txt文件的機器人，有關詳細信息，請參閱http://www.fleiner.com/bots/#trap 。 但請注意，這是一種弱保護措施。

您也可以將其添加到WWW根目錄中的.htaccess以停止目錄列表：

Options -Indexes