php - hevvo - hobba
¿Cómo puedo desactivar las URL de "huevo de Pascua" de PHP? (3)
Actualización: esto se elimina en PHP 5.5, observe cómo estos enlaces ya no funcionan en php.net
Recientemente descubrí las llamadas "URL de huevo de Pascua" en PHP:
Estas son las cuatro cadenas de consulta que puede agregar al final de una página web de PHP para ver una imagen o página web (un tanto) oculta:
?=PHPE9568F36-D428-11d2-A769-00AA001ACF42
Este es el más interesante, y muestra una imagen de "huevo de Pascua" de un conejo en una casa (conejo de Sterling Hughes, llamado Carmella), un perro marrón en el césped, un perro Scottish Terrier negro, un niño descuidado a mano dibujado, logotipo de php de color crayón, un tipo con palitos de pan (parece lápices o papas fritas) saliendo de su boca como una morsa, o un logotipo de elefante de PHP.
Otros incluyen:
-
?=PHPE9568F34-D428-11d2-A769-00AA001ACF42(PHP Logo) -
?=PHPE9568F35-D428-11d2-A769-00AA001ACF42(logotipo de Zend) -
?=PHPB8B5F2A0-3C92-11d3-A3A9-4C7B08C10000(Créditos de PHP)
Me sorprendió descubrir que esto funciona en muchos sitios web, incluido el mío. Creo que esto es idiota y quiero desactivarlo, pero por lo que he oído, la única forma de hacerlo es en php.ini con expose_php = Off , y no se puede establecer en tiempo de ejecución con ini_set() .
No tengo acceso directo a php.ini en el servidor en vivo. Sin embargo, me he dado cuenta de cómo desarmar el encabezado X-Powered-By usando el Header unset X-Powered-By en .htaccess , o el header(''X-Powered-By: '') en el código PHP.
¿Hay alguna otra forma en que pueda desactivar estos "huevos de Pascua", o tengo que cambiar esta configuración en el php.ini principal (y de hecho es la forma correcta / única de desactivar estas URL)?
Una reescritura global rápida de HTACCESS podría volver a expresar la cadena exacta en cada URL, eliminando así la única parte divertida de PHP sin tocar el archivo ini ni necesitando una función al comienzo de cada archivo.
Todavía no lo he probado, pero esto debería funcionar:
RewriteEngine On
RewriteCond %{QUERY_STRING} /PHPE9568F36-D428-11d2-A769-00AA001ACF42/ [NC]
RewriteRule .* - [F]
Por supuesto, solo copie las últimas 2 líneas para cada una de las otras posibles consultas, o escriba una expresión regular más genérica. No soy bueno con Regex. :)
Esta versión cubre toda la diversión del huevo de Pascua y fue encontrada here:
RewriteEngine On
RewriteCond %{QUERY_STRING} /=PHP[a-f0-9]{8}-[a-f0-9]{4}-[a-f0-9]{4}-[a-f0-9]{4}-[a-f0-9]{12} [NC]
RewriteRule .* - [F]
en php.ini
; Decides whether PHP may expose the fact that it is installed on the server
; (e.g. by adding its signature to the Web server header). It is no security
; threat in any way, but it makes it possible to determine whether you use PHP
; on your server or not.
; http://php.net/expose-php
expose_php = Off
Esto eliminará efectivamente los huevos de Pascua