Em geral, segurança por obscuridão é uma das mais fracas formas de segurança.
Mas em alguns casos, cada pequeno bit extra de segurança é desejável.
Algumas poucas técnicas simples podem ajudar a esconder o PHP, possivelmente
atrasando um invasor que está tentando descobrir fraquezas em seu sistema.
Setando expose_php = off em seu arquivo php.ini, você reduz a quantidade de
informação disponível para ele.
Uma outra tática é configurar os servidores tais como apache para
interpretar diferentes tipos de arquivos através do PHP, ou com uma diretiva
.htaccess, ou na própria configuração do apache. Você pode então usar extensões
de arquivos enganadoras:
Exemplo 16-18. Escondendo PHP fazendo parecer com outra linguagem # Fazer o código PHP parecer com outros tipos de códigos
AddType application/x-httpd-php .asp .py .pl |
|
Ou escondê-lo completamente:
Exemplo 16-19. Usando tipos desconhecidos para extensões do PHP # Fazer o código PHP parecer com tipos de códigos desconhecidos
AddType application/x-httpd-php .bop .foo .133t |
|
Ou escondê-lo no código HTML, que tem baixa chance de ser atingido porque
todos os HTML serão interpretados pelo PHP:
Exemplo 16-20. Usando tipos de HTML para extensões do PHP # Fazer todo o código parecer com HTML
AddType application/x-httpd-php .htm .html |
|
Para este exemplo trabalhar efetivamente, você deve renomeiar todos os
seus arquivos PHP com as extensões acimas. Apesar dessa ser a forma de
segurança através obscuridão, ela é a medida menos preventiva e com
algumas desvantagens.