| Autor | Zpráva | ||
|---|---|---|---|
| ixylam Profil * |
#1 · Zasláno: 25. 4. 2014, 16:30:53
Ahoj, abych upřesnil co mám za lubem, rád bych si usnadnil práci při vývoji aplikací a neuvěřitelně mně zdržuje, když si musím z vývojového serveru dumpovat upravenou DB a nahrávat si ji k sobě na localu. Napadlo mně řešit to tak, že bych ny front endu vytvořil novou stránku, např.
www.example.com/dump.php?user=user&password=password&database=database a provedla by se kontrola. Pokud by proběhla neúspěšně, přesměřovalo by se na 404, takže by to vypadalo jako request na neexistující stránku. Pokud by ale vše proběhlo ok, tak by se provedl dump DB a ten by se mohl buď vypsat v prohlířei nebo vyvolat stažení souboru atd.
Otázka je, jestli je to takto řešené dobře a není to narušení ochrany? Pokud je to ale ošetřeno tak,že vám to ten dumo stejně nedá, pokud nemáte správné přihlašovací údaje, tak by v tomto neměl být problém, že? Nebo ano? |
||
| Fisir Profil |
#2 · Zasláno: 26. 4. 2014, 10:10:12
Reaguji na ixylama:
Možná bych zavedl i omezení podle IP adres a určitě SSL připojení. Pak bych taky možná název skriptu přejmenoval na nějaký nesmysl, stejně tak i parametry. |
||
| Alphard Profil |
#3 · Zasláno: 26. 4. 2014, 10:45:47
ixylam:
Z té vaší adresy se mi zdá, že plánujete obecný dumpovací script, kterému se v url (které se zpracovává na hromadě míst po cestě) předkládá login do databáze. Navíc hádám, že s účtem s mnohem větším oprávněním než jen číst. Posílením bezpečnosti by bylo ukládat login údaje na serveru (stejně tam být musí) a posílat jen heslo k vašemu scriptu, ne k celé databázi. Samozřejmě lze dále zvyšovat bezpečnost přesunem hesla do POST, kombinaci s tokeny atd., to ale snad nebude pro běžné weby nutné. Protože jsem nedávno četl Adminer 4.1.0, doplním citaci (...) I přes tuto ochranu je vhodné přístup k Admineru omezit, např. v Apache pomocí Access Control. Případně pokud Adminer použijete někde jen jednorázově, tak ho zase po sobě smažte. Odkaz na Adminer také nikam zbytečně nedávajte a neumisťujte ho na snadno uhodnutelnou adresu. Pokud Adminer používají zákazníci vašeho hostingu, tak jim k němu umožněte přístup jen pokud jsou přihlášeni do administrace hostingu. Jak moc je to paranoidní nechám na každém. Získání struktury db nebude o moc větší problém, než vloupání se do administrace, která je chráněna úplně stejně. |
||
| aDAm Profil |
#4 · Zasláno: 26. 4. 2014, 11:21:07
ixylam:
nějak mi uniká smysl. Když to chceš přes web tak k tomu snad je na každém hostingu k dispozici nějaky db manažer (phpmyadmin, adminer) a pokud se ti nechce zadávat login a heslo tak stačí použít nějaký password ukladač co to za tebe vyplní. Pokud chceš řešit nějaké pravidelné zálohy db tak by to chtělo řešit nějakým skriptem na úrovni serveru a pokud nejde tak aspoň cron úlohou a nechat si to ukládat do nějaké složky třeba přístupné z webu přes login/heslo atd. Posílat username a heslo je imho špatně. |
||
| Kajman Profil |
#5 · Zasláno: 26. 4. 2014, 11:31:03
ixylam:
Nejjednodušší je mít na localu script, který přes utilitu mysqldump stáhne zálohu a přes utilitu mysql ji i rozbalí. K tomu je ale zapotřebí povolit na hostingu přístup do ostré databáze z vaší IP. Případně se dá využít ssh přístup ke spuštění mysqldumpu vzdáleně a výsledek stáhnout a rozbalit. Použití http bych se vynnul. |
||
| aDAm Profil |
#6 · Zasláno: 26. 4. 2014, 21:34:10
Kajman:
ssh na sdíleném hostingu? snad kdyby měl nějaké VPS tak ano, ale u sdílených bych s tím teda nepočítal. |
||
|
Časová prodleva: 10 let
|
|||
0