Доступ к паролям

[Ertoff]

Беспокоит следующий вопрос
На сайте в одной из директорий есть папка с паролем к БД
Попасть в этот файл скорее всего нельзя простому человеку, но немного шарящему в делах вебмастерских не составит думаю труда найти этот файл и как следствие получить доступ к паролю, а значит и есть риск, что стащат мою БД.
вопрос как защитить БД, полагаю, что есть вариант запаролить доступ к файлу с паролем, но к нему обращаются почти все страницы сайта и как следствие страницы то тоже должны иметь доступ, а как они его получат?
короче вопрос - как защитить БД

[spein]

не хранить пароль в файле. а если уж так надо то в папку с файлом скинуть файл .htaccess с таким содержанием:

<Files название.расширение>
deny from all
</Files>

[iankov]

обычно пароли хранятся в файлах типа .php, по урлу содержимое php файла просмотреть не удастся. Нужен только фтп доступ, что бы содержимое файла прочитать, но имея фтп уже считай что имеешь доступ ко всему сайту.

[Ertoff]

Сообщение от iankov

обычно пароли хранятся в файлах типа .php, по урлу содержимое php файла просмотреть не удастся. Нужен только фтп доступ, что бы содержимое файла прочитать, но имея фтп уже считай что имеешь доступ ко всему сайту.

И правда, не подумал даже что php не откроется так просто
Т.е. фактически стащить БД можно только стащим доступ в фтп?
Однако если на фтп доступ запрещен для всех и я использую только ssh клиенты (winscp), то стащить можно только стащим пароль к ssh?

[iankov]

да, стащить можно только если имеешь доступ к файлам, что бы их скачать.
Или же если настройки сервера будут не корректным, если пхп файлы вдруг перестанут исполнятся и начнут просто выводится как текстовые файлы, тогда код будет виден зайдя просто по урлу. Для этого для двойной защиты желательно файл .htacess закинуть и прописать в него запрет на открытие файла с конфигом. Ну а если сервер вообще с ума сойдет и перестанет читать ваши .htaccess файлы и будет пхп выводить как текстовый файл, тогда уже ничего не спасет ) Но такого быть не должно, если админ сервера намеренно сам не изменит конфиг апача/nginx'a

[Ertoff]

Сообщение от iankov

да, стащить можно только если имеешь доступ к файлам, что бы их скачать.
Или же если настройки сервера будут не корректным, если пхп файлы вдруг перестанут исполнятся и начнут просто выводится как текстовые файлы, тогда код будет виден зайдя просто по урлу. Для этого для двойной защиты желательно файл .htacess закинуть и прописать в него запрет на открытие файла с конфигом. Ну а если сервер вообще с ума сойдет и перестанет читать ваши .htaccess файлы и будет пхп выводить как текстовый файл, тогда уже ничего не спасет ) Но такого быть не должно, если админ сервера намеренно сам не изменит конфиг апача/nginx'a

Спасибо большое за подробный ответ!
А что в .htacess прописать, чтобы файл с кофигом не открывался? И его сунуть в папку где лежит файл конфига?