not - ¿Qué problemas de seguridad podrían surgir al exponer phpinfo() a los usuarios finales?
phpinfo() no funciona (6)
Además de lo obvio, como poder ver si register_globals está Activado, y donde los archivos pueden estar ubicados en su include_path, hay todo $_SERVER ( $_SERVER["DOCUMENT_ROOT"] puede dar pistas para definir una ruta de acceso relativa a /etc/passwd ) y $_ENV información (es increíble lo que las personas almacenan en $_ENV , como las claves de cifrado)
Si se muestra un volcado phpinfo() a un usuario final, ¿qué es lo peor que un usuario malintencionado podría hacer con esa información? ¿Qué campos son más inseguros? Es decir, si tu phpinfo() se mostró públicamente, después de phpinfo() , ¿dónde deberías mirar / concentrarte para detectar vulnerabilidades maliciosas?
Conocer la estructura de su sistema de archivos podría permitir a los piratas informáticos ejecutar ataques cruzados de directorio si su sitio es vulnerable a ellos.
Creo que exponer phpinfo () por sí solo no es necesariamente un riesgo, pero en combinación con otra vulnerabilidad podría llevar a que su sitio se vea comprometido.
Obviamente, la información menos específica que los hackers tienen sobre tu sistema, mejor. Deshabilitar phpinfo () no hará que su sitio sea seguro, pero lo hará un poco más difícil para ellos.
El mayor problema es que muchas versiones simplifican los ataques XSS al imprimir el contenido de la URL y otros datos utilizados para acceder a ellos.
Honestamente, no mucho. Personalmente, con frecuencia dejo las páginas de phpinfo() .
Si tiene algunas configuraciones erróneas serias (por ejemplo, PHP se está ejecutando como raíz), o está usando versiones antiguas y vulnerables de algunas extensiones o PHP en sí, esta información estará más expuesta. Por otro lado, tampoco estarás protegido al no exponer phpinfo() ; en su lugar debería tener cuidado de tener su servidor actualizado y configurado correctamente.
Los hackers pueden usar esta información para encontrar vulnerabilidades y piratear su sitio.
Un sistema bien configurado y actualizado puede permitirse exponer phpinfo() sin riesgo.
Aún así, es posible obtener mucha información detallada, especialmente versiones de módulos, que podrían hacer la vida de un cracker más fácil cuando surgen exploits recientemente descubiertos, que creo que es una buena práctica no dejarlos. Especialmente en alojamiento compartido, donde no tiene influencia en la administración diaria del servidor.