จะทำอย่างไรให้เขียน php อย่างมั่นใจในเรื่องความปลอดภัย

[kenessar]

ผมว่ามันก็ทั้ง เซิฟเวอร์และก็สคริป แหละครับ ที่ต้องให้ความสำคัญ
แต่ละอย่างมันก็เป็นปัจจัยด้วยกันทั้งนั้นครับ ยังไง เจ้าของเว็บ ก็ได้ดูทั้งส่วนโค้ดและเซิฟเวอร์อยู่ดี (ในตอนที่มีปัญหามา)

ถ้าเราบอกว่า สคริปนั่นแหละ ตัวทำรั่ว แต่พอรั่วแล้ว เรามีวิธีจำกัดให้มันอยู่เฉพาะ Account เขาได้มั้ย
ยกตัวอย่าง ผมเคยใช้โฮสของ Godaddy วันหนึ่งผมเข้าหน้าเว็บผมผิด ปกติมันต้องเด้ง 404 มาเลย แต่นี่มันเด้งหน้า Backdoor ของสคริปแฮ็คตัวหนึ่งมาเฉย
ที่น่ากลัวคือผมกดย้อน File Manager ขึ้นไปได้เรื่อย ผมเห็นทั้งเซิฟเวอร์ ผมยังงงอยู่ว่ามันเริ่มแฮ็คเว็บผม หรือแฮ็คเว็บอื่นมา แล้วไล่ติดตั้งสคริปใน Account ต่างๆ

ถ้าเราเอาแต่โทษว่า เซิฟเวอร์นั่นแหละ ที่ไม่มีความปลอดภัย มันก็เหมือนเราวางใจในสคริปมากเกินไป ขนาดเขียนเอง ไม่ได้ใช้ CMS, Framework ยังโดนเลยครับ แล้วถ้ามันจะเล่นจริงๆ มันเจาะง่ายกว่าสคริป Open Source ที่ Experts เขาแก้ไขมากันแล้วอีกครับ เพียงแต่มันจะคุ้มที่จะเจาะหรือไม่เท่านั้นแหละครับ แต่อย่าวางใจไปนัก ขนาดเว็บ อบต. ไม่น่าจะมีอะไรให้เอา มันยังแฮ็คเลย น่าจะแฮ็คลองวิชา แล้วเอาไปขยายผล

ทุกปัจจัยมีความสำคัญนะครับ มันเจาะวิธีไหนได้ มันก็เอาหมดล่ะครับ อย่าไว้ใจโฮส และ สคริปตัวเองเกินไปนัก เป็นดีที่สุด

ถ้าจะป้องกันได้ คุณต้องแฮ็คเป็นก่อนครับ ถึงจะรู้ว่าต้องป้องกันยังไง ... การป้องกันที่ดีที่สุด คือการโจมตี (ผมได้ยินมางี้ ๕๕๕)