xampp на Windows и безопасность

Запросто. Там все под твоим юзером запускается.

Devvver, если нтфс и права правильно настроены, то не может. Если фат или права никто не настраивал, то может (да и вообще доступ ко всему диску может иметь).

В принципе да. У меня куча скриптов для работы, которые запускаются через PHP и файлы исправляют и т.д.

Но apache работает от админа, и темы я всякие не запускают.

Думаю для такого лучше какой-нибудь поддомен юзать на своём сайте.

разумеется цепануть можно всё что угодно и не только через exe

Devvver, поставь Нетваре и не парься. занимайся дальше....

Это очень опасно, все эти сборки вебсерверов под винду создаются просто чтоб работало, с безопасностью там вообще никак. Могут и экзешники скачивать и запускать, могут поискать и потырить ваши пароли, файлы, куки и все что лежит под этим юзером, да и не только под этим.

Самое на винде для таких дел простое и безопасное - виртуалбокс, в него побыстрому весту панель накатить и запускать можно смело вообще все что угодно.

Очевидно же - чем меньше тянешь к себе на комп всякого дерьма - тем безопаснее. Не говоря уже за разное окружение и работоспособность.

Пора уже вообще забывать за всякие виновые недоделки и заниматься вебразработкой на реальном хостинге, в реальном окружении.

В крайнем случае - в вируталке с линуксом.

При сетапе той же убунты можно просто выбрать LAMP и не нужны никакие панели ;)

SeVlad, можно, но тогда придется руками ковырять больше. Для тестов такой кратковременной фигни веста самое норм, там и вордпресс в один клик есть.

Понятно, не зря переживал на счет этого...

Тогда второй вопрос.

Как ограничить поддомен на сайте? Чтобы вирус не вылез из папки поддомена и не заразил весь аккаунт.

Хороший вопрос.

Думаю вам поможет запрет на редактирования .hta и директива php open_basedir

https://stackoverflow.com/questions/13291185/how-to-set-for-specific-directory-open-basedir

Но если подумать, то эта же директива будет работать и на локалке, тем самым ограничивая область PHP

Вы можете установить её до вашей директории, а далее попробовать обычный скрипт

echo file_get_contents("C:\\Windows\\system.ini");

Если выбьет ошибку open_basedir, значит всё ок

Поставьте для домена отдельный интерпретатор, запускайте его от отдельного юзера, которому назначьте права только в пределах своей папки. Разумеется ФС - ntfs.

Если работаете с mysql - сделайте для mysql то же самое, т.к. load infile/outfile тоже может использовать.ся.

Чисто php-шные настройки типа open_basedir не особо спасут, оно обходится достаточно штатно даже на юниксе, не во всех случаях, но все же.

Так же надо ограничить права exec группы (exec, shell и т.д.) функций - лучше вообще прописать их в disabled functions в php, если конечно сайт не использует эти функции.