phpファイルのダウンロードとセキュリティについて

質問

はじめまして、PHPを勉強中の鏑木といいます。

現在phpを使ったサイトを作っており、もうすぐ公開というところまでたどり着きました。テストのため色々なブラウザを使ってサイトを見ていたところ、safariで構成ファイルの一覧という機能を見つけました。
ここにはページを構成するファイルが表示されており、php内部でインクルードしている設定ファイルなどのパスもかかれています。

ちょっと不安になって、ダウンロードソフトでPHPファイルのパスを指定してDLしてみました。
結果、内容は文字化けしていて解読できませんでした。（文字コードをかえても同じでした）

類似する質問を調べたところ、これはPHPが吐き出した何らかの処理?とのことで、ソースの内容はダウンロードできないとのことだったのですが、心配になり質問させていただきました。

PHPファイルは基本的にDLされ、中のソースを見られることはないのでしょうか？もしDLされてしまう可能性があるとしたら、それを回避するような対秘策はあるのでしょうか？

実際にPHPを使われているみなさんはどんなセキュリティ対策を行っているのか、よろしければご指導いただけないでしょうか。

よろしくお願いいたします。

回答No.1

altrn

PHPファイルのコードそのものは、普通(PHPとして実行されている場合)は見ることはできません。
外部から見た場合、HTMLファイルと同じです。
(FTPのパスワードを知っている人はFTPから見ることができます。)

問題となるのは、
エラーが発生して、Warning...などとファイル名・行番号が表示されると
コードが少し見えますし、またファイル名が知られてしまうので、不正アクセス(高レベルの技術を持っている人にはコードを見られる可能性は否定できません)される可能性もあります。

特に、includeやrequireでPHPファイルを読み込んでいる場合は、
その読み込まれるファイルは不完全である場合が普通で、
それに直接アクセスされると、エラーがでることもありえます。
(たとえばinclude元で変数
$foo='bar'
と設定し、include先で
echo $foo;
とした場合、include先を直接アクセスされると$fooは表示されません。(場合によってはエラー))

ダウンロードソフトを使った場合、
おそらくHTMLとして出力されたあとの"HTMLファイル"がダウンロードされると思います。
ですので、PHPコードが知られることはありませんが、
前述のようにページの(不完全な)一部がHTMLとして表示されていることになっていると思います。

また、コードそのものがダウンロードされてしまう場合には、
・PHPがインストールされていない場合(PHPが使えないサーバーでPHPファイルにアクセスした場合)
・.php以外の拡張子(たとえば.inc)をつけているときに、そのファイルに直接アクセスされた場合で、かつその拡張子(.inc)がPHPとして動作しない場合。
（ただし、.phpファイルからincludeしたファイルは、どんな拡張子であってもそこに書かれているコードはPHPとして読まれます。つまり、.incファイルは.phpなファイルからincludeされる前提で作られているという状況です。）

ともかく一般的に有効な対策をしておこうとするならば、
.htaccessを使う方法が考えられます。

一つ目は、
外部からアクセスされることはないファイル(includeされることでしか使われないファイル)は、
ひとつ(または複数)のフォルダにまとめて入れておき、
そのフォルダにdeny from allと書いた.htaccessを置く。

もうひとつは、
外部からアクセスされることはないファイル(includeされることでしか使われないファイル)は、
拡張子を.incなどとしておき、
最上層に、
<Files ~ "\.inc$">
deny from all
</Files>
と書いた.htaccessを置く。

あと、私はsafariを使ったことがないのですが、
safariで「php内部でインクルードしている設定ファイルなどのパスを見ることができる」とのことですが、それは本当ですか??それが可能でしたらすごく気になります。

お礼

大変詳しいアドバイスありがとうございました。
とても勉強になります。
教えていただいたhtaccessの設定は取り入れていませんでしたので、ぜひやってみようと思います。

safariについてですが、見えていたのはインクルードしているファイルではありませんでした;あせって早まってしまったみたいで申し訳ないです。（GDライブラリを使い画像として読み込ませたphpファイルのパスでした）ただ、mysql.iniやxx.classなど、察しやすい名前のファイルを使っていると怖くなってきますね…。

もう一度全体を見直してみようと思います。
ありがとうございました。