veiligheid .ini bestand

HI,

Ik wil een ini bestand gebruiken. Met de volgende code kan ik dat bestand in één keer omzetten naar een array. Heel handig!

Het bestand 'geheim.ini' staat in een directory die publiek toegankelijk is. Een hacker die dat weet staan, kan gewoon intypen 'path/to/file/geheim.ini en de brouwser toont de inhoud van dat bestand. Oeps daar gaan mijn geheimen.
Dus ik dacht dat op te lossen door mijn bestand geheim.ini.php te noemen en de eerste regel als volgt te maken:


Let op: er staat een ; voor de php code.
De ; is voor parse_ini_file een commentaarlijn en zal de php code negeren.
De hacker die via zijn brouwser het bestand aanroept zal PHP aanroepen voor het bestand. de ; ziet hij als html tekst en output hij naar de brouwser, dan ziet hij de php tag en voert het commando die dat daar staat uit. Probleem opgelost. Of niet?
Welk veiligheidsprobleem zou ik nog kunnen hebben?
Kan het volgende bijvoorbeeld:
Een hacker maakt op zijn computer een php bestand waarbij hij de parse_ini_file instructie gebruikt en mijn bestandsnaam er aan koppelt. Zo komt hij toch aan de inhoud. Is dat mogelijk?

Marc.

edit: juiste tag om de ; binnen de code te zetten.

Ik zou zeggen, probeer dat laatste eens, en kijk of het werkt. Lijkt me niet, maar weet het niet zeker.

Dat zal niet lukken. Zodra het bestand langs Apache komt en het de extensie .php heeft, (en apache goed ingesteld is) zal het bestand uitgevoerd worden. Zo kan je ook niet achter de php broncode van deze website komen, omdat de PHP code uitgevoerd wordt, en niet opgestuurd.

Stel je hebt het zo:

Dan kun je in de map 'ini' een bestand genaamd .htaccess zetten met de inhoud:


Als je naar www.jewebsite.nl/ini/geheim.ini gaat krijg je een 'Forbidden [403]' error te zien.

zet het gewoon buiten de webroot, en klaar!