PHP 은닉

일반적으로, 폐쇠에 의한 보안은 약한 보안의 형태중 하나입니다. 그러나 어떤 경우에는, 이런 사소한 보안이 유용한 경우가 있습니다.

몇몇 간단한 기술들이 PHP 를 은닉 하도록 할수 있으며, 공격자가 시스템의 약한 부분을 찾아내는데 시간이 걸리도록 할 것입니다. php.ini 세팅의 expose_php 를 off 로 바꾸면, 공격자들에게 노출되는 정보를 상당부분 줄일 수가 있습니다.

또 다른 전략은 아파치 같은 웹서버들이 PHP 를 다른 파일 타입으로 인식 하도록 .htaccess 디렉티브나 아파치 설정파일을 설정하는 것입니다. 이렇게 하면 혼동되는 파일 확장자를 사용 할수 있습니다.

Example #1 다른 언어처럼 보이도록 PHP 은닉하기

# PHP를 다른 타입으로 보이도록 합니다.
AddType application/x-httpd-php .asp .py .pl

또는 완전 은폐할 수 있습니다:

Example #2 PHP 확장자에 대해 알려지지 않은 파일타입 사용하기

# PHP 를 알려지지 않은 다른 타입으로 보이도록 합니다.
AddType application/x-httpd-php .bop .foo .133t

또는 HTML 로 보이도록 할수도 있으나 이 방법은 PHP 엔진에 의해 모든 HTML 구문에 대해 분석이 발생할 것이므로, 성능적인 측면에서는 다소 좋지 않을 수도 있습니다.:

Example #3 PHP 확장자에 대한 HTML 타입 사용하기

# Make all PHP code look like HTML
AddType application/x-httpd-php .htm .html

이방법이 효과적으로 동작하도록 하기 위해서, PHP 파일의 확장자를 위의 확장자들로 바꿔줘야 합니다. 이 방식은 은폐를 통한 보안의 형태이지만, 문제점이 적은 간단한 예방법입니다.