Ladycharm: но чтобы запустить его уже потребуются знания сисадмина и "немного удачи":
Из "знаний сисадмина" достаточно уметь читать свои логи, а так нужно чуть-чуть знать пхп (например генерить файлы). пп1-3 проблем не представляют, если 4й выполняется. Вот это уже согласен, нужна "удача".
Думается мне приблиз. такая же, как и найти "вебмастера" с граббером, которым можно скормить свой и роботс, файл подтверждения и перетянуть на себя его домен.
KM.UA: Граббер делает такие же урлы за счет mod_rewrite.
.htaccess он может загрузить, и он даже будет доступен по ссылке сайт-клон/.htaccess
Но реально он будет лежать в другой директории.
Ок. Понятно, спс.
KM.UA: Иначе можно было бы скормить ему php код, и таким образом залить шелл.
Так что мешает такому граберру скормить шелл? Я об этом, кстати, сразу подумал как только про роботс понял.
Тем более если вместе с хтацессом.
DenisVS: Теперь я в непонятках. Как вообще можно загрузить с веб сервера .htaccess,
В конфиге сервере разрешить доступ к нему из веба.
Ladycharm: Автограббер спокойно загрузит его к себе, как и любую другую страницу. Проблема в том, что автограббер или работает без кэширования, или хранит свой кэш в отдельной папке. То есть наш .htaccess не попадёт в корневую папку и вражеский веб-сервер его исполнять не будет. Плюс, файлы кэша обычно имеют другие имена.
Не пояснишь почему site.com/google-file.txt роботы съедят из корня, а site.com/.htaccess в таком же механизме окажется не в корне и ещё переименованный?
но чтобы запустить его уже потребуются знания сисадмина и "немного удачи":
Из "знаний сисадмина" достаточно уметь читать свои логи, а так нужно чуть-чуть знать пхп (например генерить файлы). пп1-3 проблем не представляют, если 4й выполняется. Вот это уже согласен, нужна "удача".
Думается мне приблиз. такая же, как и найти "вебмастера" с граббером, которым можно скормить свой и роботс, файл подтверждения и перетянуть на себя его домен.
Код читают только мейнтейнеры и от силы десяток людей.
А используют сотни тысяч. А десятки тысяч пытаются взломать.
Мои знания позволяют.
Ну-да, ну-да. Это сразу видно :)
Где можно такой сервер арендовать?
/ru/forum/development/hosting
И внимательно читать там правила раздела.
Граббер делает такие же урлы за счет mod_rewrite.
.htaccess он может загрузить, и он даже будет доступен по ссылке сайт-клон/.htaccess
Но реально он будет лежать в другой директории.
Ок. Понятно, спс.
Иначе можно было бы скормить ему php код, и таким образом залить шелл.
Так что мешает такому граберру скормить шелл? Я об этом, кстати, сразу подумал как только про роботс понял.
Тем более если вместе с хтацессом.
Теперь я в непонятках. Как вообще можно загрузить с веб сервера .htaccess,
В конфиге сервере разрешить доступ к нему из веба.
А фреймворк что, магически решает эти проблемы?
Защищает от SQL-инъекций, от XSS, от CSRF?
Паблик опесорц проверяется сотнями и тысячами специалистов. Исправляется и всё равно потом находят новое.
Твой самопис безопасен ровно настолько, насколько позволяют только твои знания и эффект неуловимого Джо.
Из чего следует - паблик опенсорц безопасней на 2-3 порядка.
А непонимание этого делает самописы ещё более небезопасными.
это как... ...?
На свой скрин посмотри. Есть "кодировать", а есть "преобразовать".
Причём "без БОМ".
ну как так то? где еше изменить надо?
Преобразовать.
А значит, пересохраните ваш файл, но с нужной вам кодировкой
Не только файл(ы) пересохранять. Он(и), кстати, наверняка в ютф, но убедиться в этом стоит.
Нужно смотреть что сервер отдаёт. Как он вообще перекодирует.
---------- Добавлено 10.11.2015 в 13:28 ----------
не помогает
А ты ничего и не изменил.
Но в плане доменов - все не так очевидно.
Ну тут варианты на выбор - поддомен ("вирутализация" оного), подкаталог, просто куки или ещё что-то, менее правильное в большинстве случаев.
3 домена - это уже жирно и не нужно в большинстве случаев.
Походу так это делается в вордпрессе:
Там тоже можно по-разному делать. Шаблон - это частный случай, или даже так - часть реализации любого из "глобального" способа.
Автограббер спокойно загрузит его к себе, как и любую другую страницу. Проблема в том, что автограббер или работает без кэширования, или хранит свой кэш в отдельной папке. То есть наш .htaccess не попадёт в корневую папку и вражеский веб-сервер его исполнять не будет. Плюс, файлы кэша обычно имеют другие имена.
Не пояснишь почему site.com/google-file.txt роботы съедят из корня, а site.com/.htaccess в таком же механизме окажется не в корне и ещё переименованный?