Pobranie pliku PHP bez jego wykonywania ?

[PiXel]

Czy istnieje mozliwosc pobrania calego pliku PHP z serwera przez jakis program lub przegladarke bez wykonania tego pliku przez serwer ?
Chodzi o to zeby pobrac caly plik PHP a nie kod wynikowy.
Slyszalem, ze sa jakies programy do tego celu.
Mozecie mi powiedziec jakie ?
Chce poeksperymentowac i sprawdzic czy jest mozliwosc zabezpieczenia skryptu przed takim programem.

[TQM]

Jesli serewr WWW jest skonfigurowany do obslugi plikow PHP - to znaczy posiada wlaczona obsluge PHP, to kazde odwolanie sie do pliku php spowoduje jego wykonanie i nie da sie go sciagnac w postaci kodu.

Apache ma to zrobione tak ze plik z kodem php mozesz nawet nazwac sobie .txt, .html albo i .dupajasiu ale pozniej w dyrektywach AddType i AddHandler podajesz jakie rozszerzenia w twoim systemie maja pliki PHP i jesli ktos zapyta przez WWW o taki plik to apache bedzie szukal w pliku kodu PHP i jesli znajdzie to wykona najpierw a to co uzyska wysle klientowi.

Jesli serwer ma obsluge PHP i chcesz pobrac kod zrodlowy PHP to sie nie da.
Bylo kiedys cos jak pliki .phps - PHP Source, apache zwracal to ladnie pokolorowane ale ze wzgledow bezpieczenstwa chyba wszyscy maja to zablokowane juz dawno

Google przyjacielem :-) Zobacz jak to dziala a pozniej utnij ostatnie 's' z URLa:
http://www.sexygirlgeek.com/share/wp-login.phps
http://www.control.aau.dk/~danji/tea...php/login.phps
http://ratsnet.org/vhcs/error/index.phps

Ten ostatni to chyba zle skonfigurowany serwer bo .php wykonal a .phps pokazal Ogolnie konfiguracja pozwalajaca na wyswietlenie kodu zrodlowego aplikacji jest ogromnym bledem i zagrozeniem dla bezpieczenstwa...

[PiXel]

A czy jest mozliwe zeby z zewnatrz podczas pobierania pliku powstrzymac ten proces wykonania go ktory normalnie powinien nastapic (wg konfiguracji) i pobrac ten plik w calosci jak kazdy inny ?

Przegladarka podczas laczenia sie z serwerem wymiania z nim wiele danych a tam gdzie jest wymiana danych teoretycznie istnieje mozliwosc przejecia (chociazby czesciowej) kontroli nad drugim urzadzeniem (W tym wypadku serwerem).

[TQM]

Nie, poniewaz zanim serwer cokolwiek odpowie to juz wykonuje kod...

Dokladnie dziala to tak, ze serwer dostaje polaczenie od Ciebie, sprawdza czy plik ktory chcesz pobrac istnieje - jesli by go nie bylo dostaniesz 404 Not Found i po sprawie, jesli jednak plik jest to bedzie on wykonany...

Jesli podczas wykonania bedzie blad w skrypcie i wykonanie zakonczy sie przerwaniem programu, dostaniesz blad 500 Internal Server Error...

Dopiero jak program zakonczy dzialanie znane jest cale jego wyjscie (produkt) czyli wygenerowana stronka. Wiele serwerow podaje jeszcze w naglowku odpowiedzi pole Content-Length i dlugosc wygenerowanej strony w bajtach (choc nie koniecznie musi to robic). Dopiero po zakonczeniu dzialania programu strona jest wysylana do klienta, bo jesli wykonanie kodu sie nie powiedzie to trzeba wyslac komunikat bledu.

Naglowki raz wyslane sa nie do odwrocenia - jak zostanie wyslane 500 Internal Server Error to nie ma dyskusji - program zakonczyl dzialanie bez zwracania prawidlowych naglowkow w komunikacji z serwerem (program zwraca naglowki do serwera, serwer sprawdza... pozniej wysyla sam naglowki do klienta).

[PiXel]

Dzieki za wyjasnienie
Pozdrawiam!

[kristoffo]

OK, ale przecież, jeżeli w folderze nie ma domyślnie wykonywanego pliku (np brak index.php, albo index.html) to po wpisaniu adresu pojawia się lista plików znajdujących się w folderze, a potem da się zrobić "zapisz jako..." i już plik jest na dysku. Czy nie da się za pomocą przeglądarki wywołać takiego właśnie widoku, z pominięciem domyślnie uruchamianych plików?

[eMCe]

nic z tego - kolego
za miło by było

z tego co wiem działa to na takiej zasadzie ze przeglądarka tak jakby wchodzi na tą stronę(plik) - skrypt sie wykonuje i zapisywany jest wynik...

[TQM]

Sciagnac taki plik mozna tylko przez FTP albo inny file manager - nawet dzialajacy przez WWW ale taki ktory pobiera plik z dysku jako lokalny user a nie uzywa serwera WWW do otwarcia pliku.

Co do "zapisz jako" - tez nie zadziala... poza tym jesli ktos zostawia wlaczone Indexes to az prosi sie o problemy...

[suchy]

Jakie problemy mogą wyniknąć z włączonego Indexes jeśli np ktoś trzyma w katalogu tylko *.mp3 na przykład?

[TQM]

Problemy z prawami autorskimi a poza tym nie wiele... pod warunkiem ze jest to jedyny w jakim masz Indexes odpalone... Jak chcesz wiedziec co mozna wyciagnac to poszukaj w google - cuda ludzie trzymaja... albo "super bezpieczna firma" ma serwer na ktorym jest wizytowka z wersja softu i modulami zaladowanymi - tylko pogratulowac

Potencjalny atakujacy juz ma punkt zaczepienia...