Base de Conhecimento

Muitos programadores preferem usar arquivos ".inc" para identificar arquivos que são chamados através das funções include() e require() (e as respectivas "_once").

Se você não configurar o servidor Apache corretamente, os arquivos ".inc" podem ser baixados e lidos, ao invés de interpretados pelo servidor. O resultado é seu código-fonte exposto. Em casos mais graves, arquivos de configuração, que incluem a senha do banco de dados, podem ser lidos por qualquer um.

Detalhe, isto é mais comum do que se pensa. Digite no Google: filetype:inc mysql_connect e você verá que muitos sites, além de não configurarem o arquivo .inc corretamente, mantém a listagem de arquivos e pastas disponível. Essa busca retornará arquivos que terminam com ".inc" e possuem a palavra "mysql_connect", que é uma função para conectar ao banco de dados, que tem como argumentos o endereço, usuário e senha. Logo, é possível obter todos os dados necessários para conectar-se ao banco de dados.

Código para o Apache interpretar arquivos .inc como .php:
(adicionar ao arquivo .htaccess)

Código PHP:
Addtype application/x-httpd-php .inc 

Adicionar aos Favoritos

Imprimir este Artigo