Wie sicher sind *.php und *.inc Dateien?

[Tom]

Hello,

Du hast ja gar keinen eigenen Zugriffe. Du beauftragst den Webserver per HTTP-Request, einen Zugriff für dich durchzuführen. Es gibt also nur Zugriffe des Webservers, die per HTTP veranlasst werden, oder die (über das lokale System) per Script veranlasst werden.

Mja. Ok. Schlecht formuliert. Werden denn nun alle oder nur die aus dem lokalen System unterbunden?

Wir setzen einfach mal voraus:
Ein Webserver hat immer nur direkten Zugriff auf das lokale Filesystem seiner Maschine. Kommt die Aufforderung an ihn nun von "innen", dann sagt er sich "lokaler Auftrag, nur Filerechte beachten und basedir und safe_mode". Kommt der Auftrag aber von "außen" über HTTP, dann sagt er sich, "oh, will ich dich Auftrag überhaupt annehmen? Erstmal die ganzen Filterbedingungen anschauen, die  man mir aufgetragen hat. Und wenn ich dann nach innen in mein Filesystem gucke, werde ich auch noch die zusätzlichen Bedingungen in .htaccess und httpd.conf für das Verzeichnis und die Files usw. beachten"

So (ähnlich) macht das jedenfalls der Apache. Der IIS macht, was er will...

Liebe Grüße aus http://www.braunschweig.de

Tom