Bueno resulta que me tenía un poco preocupado algo acerca del include. Resulta que pensé que al incluir un archivo con código php en forma de url, solo me devolvería html(si es que este existiese) y obviamente y efectivamente es así (todos lo sabemos), pero al incluir un archivo php usando la ruta completa(corriendolo en el mismo servidor en que se encuentra el archivo a incluir) tendría acceso a todo lo que contiene este archivo, o sea, TODO incluyendo el código php, variables etc.
Bueno me propuse a hacer un experimento, lo hice en host.sk, hice un archivo con un código simple, incluyendo el archivo de configuración de un foro phpbb, que se encontraba en otro cuenta de host.sk(no mía), bueno, subí el archivo, lo ejecute y me mando un error de safe mode, todo bien(me dije a mi mismo[lo único que quería es que me saliera un error, para quedarme tranquilo]). Ya, después me acorde que tenía una cuenta en otro webhosting en el cual php esta corriendo con safe mode
off , entonces hice el mismo experimento, esta vez use como "conejillos de india" a otro usuario que tenía un foro "invisionboard" en su sitio, entonces subí el archivo con el código correspondiente:
Código PHP:
<?php
include("/home/usuarioblabla/public_html/forums/conf_global.php");
echo $INFO['sql_pass'];
echo "<br>";
echo $INFO['sql_user'];
echo "<br>";
echo $INFO['sql_database'];
echo "<br>";
?>
¿Qué pasó? Me devolvió los valores de las variables
. Para comprobar esto, me metí al phpmyadmin de este webhosting usando los supuestos datos de la cuenta de mysql de este usuario y ACCEDÍ a su BBDD, obviamente salí de inmediato de ahí, por ningún motivo tenía la intención de hacer nada que no fuera un experimento, el cual, repito, quería con todas las ganas que no me resultara.
Ahora, necesito la opinión de las masters, porque me siento un poco comfundido, se me cayó un poco del pedestal nuestro querido PHP, o sea ¿ la solución es que siempre PHP corra con SAFE MODE = ON para evitar estas fallitas de seguridad?
Ah y ¿uds me recomiendan que de aviso a los administradores de este webhosting del potencial(bueno,concreto) problema de seguridad?
