4

Estoy haciendo un sitio web y me gustaría saber cómo hacer para que los archivos PHP se ejecuten sólo si son llamados desde otros archivos PHP. Es decir, que no se puedan ejecutar de manera directa desde el navegador.

He visto la siguiente pregunta respondida por OscarGarcia en la que recomienda algunas cosas:

Entre ellas indica lo siguiente:

  • Poner los archivos PHP fuera del directorio raiz del sitio web. Esto no termino de entenderlo, ¿Se refiere fuera del directorio que sirve el contenido web? si es así, ¿se puede llamar al archivo PHP?
  • Se indica el uso de .htaccess para incluir en el la linea: deny from all. Esto evita la ejecución directa y la ejecución desde otro archivo PHP.
  • Indica también if (defined('ESTOY_DENTRO') === false) die(); en los ficheros que no se quiere que se ejecuten de manera directa. Esto también me evita que se ejecuten desde otro archivo PHP.

¿Alguna sugerencia para ayudarme?

2 respuestas 2

2

Amplío aquí (y probablemente relacione la pregunta anterior con ésta) la explicación de las recomendaciones que hice.

Pongamos la siguiente estructura de código almacenando funciones en el subdirectorio src dentro de /var/www/html de un servidor, configurada dicha ruta como DocumentRoot:

DocumentRoot /var/www/html/
/var/www/html/index.php
/var/www/html/src/archivo1.php
/var/www/html/src/archivo2.php

El archivo index.php puede incluir archivo1.php y archivo2.php de la siguiente manera:

<?php
include __DIR__ . '/src/archivo1.php';
include __DIR__ . '/src/archivo2.php';

Pero si la URL de la aplicación es https://ejemplo/index.php entonces las siguientes URLs podrán ejecutar de manera directa dichos archivos PHP:

https://ejemplo/src/archivo1.php
https://ejemplo/src/archivo2.php

Esto es precisamente lo que el autor original quiere evitar. Ahora veamos las soluciones.

Poner los archivos PHP fuera del directorio raíz del sitio web

Esto no termino de entenderlo, ¿Se refiere fuera del directorio que sirve el contenido web? si es así, ¿se puede llamar al archivo PHP?

Esta solución es la más recomendable y es la que usan la mayoría de frameworks PHP.

Cambiamos la estructura de directorios a la siguiente:

DocumentRoot /var/www/html/html_publico/
/var/www/html/html_publico/index.php
/var/www/html/src/archivo1.php
/var/www/html/src/archivo2.php

Notar que es importante cambiar la ruta raíz del servidor web (DocumentRoot) para que sea /var/www/html/html_publico/ en vez de /var/www/html/.

En este escenario el archivo index.php seguirá siendo accesible a través de https://ejemplo/index.php, pero ya no es posible acceder a ninguna URL del servidor web para cargar los PHP de manera directa:

https://ejemplo/../src/archivo1.php
https://ejemplo/src/archivo1.php
https://ejemplo/../src/archivo2.php
https://ejemplo/src/archivo2.php

Ahora, para compensar el cambio realizado en la ruta donde está el index.php, la inclusión de los archivos se realizaría de la siguiente manera:

<?php
include __DIR__ . '/../src/archivo1.php';
include __DIR__ . '/../src/archivo2.php';

Que sube un nivel en la estructura de directorios y desde allí accede al subdirectorio src, que a nivel de ejecución del script PHP sí que sigue disponible (sigue siendo un archivo local).

Se indica el uso de .htaccess para incluir en el la linea: deny from all

Esto evita la ejecución directa y la ejecución desde otro archivo PHP.

Impide la ejecución directa, pero se puede seguir incluyendo desde otro archivo PHP como de costumbre. Es una restricción de acceso a nivel de servidor web, no de ejecución de PHP.

La estructura quedaría así:

DocumentRoot /var/www/html/
/var/www/html/index.php
/var/www/html/src/.htaccess
/var/www/html/src/archivo1.php
/var/www/html/src/archivo2.php

De modo que el archivo .htaccess protege la carga directa únicamente el contenido del directorio src.

La inclusión de archivos no se ve alterada porque no hemos reorganizado el contenido:

<?php
include __DIR__ . '/src/archivo1.php';
include __DIR__ . '/src/archivo2.php';

if (defined('ESTOY_DENTRO') === false) die(); en los ficheros que no se quiere que se ejecuten de manera directa

Esto también me evita que se ejecuten desde otro archivo PHP.

No, sólo evita que se carge desde otro archivo PHP que no haya definido previamente el define necesario.

Ejemplo con esta estructura de archivos:

DocumentRoot /var/www/html/
/var/www/html/index.php
/var/www/html/index2.php
/var/www/html/src/.htaccess
/var/www/html/src/archivo1.php
/var/www/html/src/archivo2.php

index.php

<?php
define('ESTOY_DENTRO', 1);
include __DIR__ . '/src/archivo1.php'
include __DIR__ . '/src/archivo2.php'
/* Resto del código */

index2.php

<?php
include __DIR__ . '/src/archivo1.php'
include __DIR__ . '/src/archivo2.php'
/* Resto del código */

archivo1.php y archivo2.php

<?php
if (defined('ESTOY_DENTRO') === false) die();
/* Resto del código */

En este caso la inclusión de archivo1.php y archivo2.php desde index.php funcionará correctamente, pero la inclusión desde index2.php fallará y finalizará la ejecución del PHP.

Podría tener utilidad para limitar las llamadas de unos PHP desde otros, pero siendo los desarrolladores los únicos que pueden cambiar el código de la aplicación, eso debería hacerse de manera consciente y no mediante este tipo de controles.


Espero que esta explicación ampliada te haya sido de ayuda.

1
  • 1
    Gracias @OscarGarcia me ha servido de ayuda y me ha aclarado muchas cosillas.
    – Buendy
    el 22 ago. 2018 a las 9:39
2
  • Al acceder a una aplicación mediante la url, modificando la url solo se puede acceder dentro de la aplicación es decir localhost/app/carpeta, sin embargo no puedes salir a fuera de esta y aun intentando lo de forma cutre localhost/app/../../../ se puede intentar pero lo único que llegas es al localhost. Aun asi desde un fichero php si que puedes indicar otra posicion fuera del proyecto; include "../../aplicacion2/fichero.php" es decir, sales de la carpeta de tu proyecto y entras/incluyes otro fichero que este fuera de este. Esta opcion no es muy practica por varias razones:
    1. Todos los fichero que quieres proteger tienen que estar en esta otro proyecto
    2. A la hora de mover el proyecto tienes que mover ambas carpetas
    3. Dependiendo del servidor puede no te permita salir fuera del directorio de la aplicacion.

  • Denny from all se utiliza para evitar el acceso desde fuera del servidor,pero desde local o la aplicación si que se puede.
  • Esta opción se refiere a declarar una variable antes de hacer el include(aunque esta un poco mal explicado), por lo tanto compruebas si la variable existe y si resulta que no significa que no ha sido un include( Aunque este metodo tiene fallas de seguridad, se explica mas en cuestión en este post, los comentarios de la primera respuesta

SOLUCION:
Un arreglo bastante sencillo que se me ha ocurrido es utilizando $_SERVER['REQUEST_URI'] esto te devuelve te devuelve la uri utilizada para acceder al fichero, es decir si por defecto para acceder a tu fichero utilizas datos.php te deolvera como uri: /datos.php o si utilizas directorio /datos/index.php y accedes mediante /datos/ la variable contendra /datos/.
Utilizando este metodo pudes añadir esto en tus ficheros include:

<?php
    $origen = $_SERVER['REQUEST_URI']; 
    if($origen!= "/datos/?algo"){
        header("location:../error/");
        die();
    }
?>

Con estas lineas de codigo todo aquello que no acceda a la url con ?algo al final sera redireccionado, por lo tanto al hacer el include simplemente añades ?algo al final.

Espero que no haga falta, pero por si acaso :D
"algo" puede ser cualquier otro string, numero o caracter

11
  • Gracias por la respuesta. Perdona pero sigo un poco verde en esto todavía. Con respecto a la solución que me indicas, antes de realizar la llamada a cualquier archivo PHP tendría que obtener url para luego hacer la comprobación al principio de cada código de PHP?
    – Buendy
    el 30 jul. 2018 a las 10:32
  • Ese codigo php lo incluyes en todos los archivos que quieras proteger. La variable $origen obtiene la url mediante la cual se ha accedido al fichero .php por lo tanto al añadir ?algo no impactas la pagina pero la variable si que lo registra y comprueba si coincide o no, Sabiendo esto pones el texto que tu quieras como clave despues del ? y cuando alguien o algo accede al archivo y la url no contiene dicho texto, sera redirigido a otro sitio. Por lo tanto para acceder a este fichero tienes que añadirle la terminación ?secreto o si no lo rechazara,se aplica también a los includes
    – CristianS9
    el 30 jul. 2018 a las 10:44
  • Perdona pero te voy a hacer una preguntilla... El primer archivo PHP que se ejecuta es a partir de un HTML, es decir a partir de un botón. Como la llamada al fichero PHP no la hago con un include no puedo pasarle el contenido de $origen (o al menos entiendo eso). Se le podría pasar de alguna manera?? GRACIAS!!
    – Buendy
    el 30 jul. 2018 a las 10:46
  • y necesitas que este primer php tampoco sea accesible si nos es por el boton? porque sino simplemente no incluyes la comprobación en este y listo
    – CristianS9
    el 30 jul. 2018 a las 10:48
  • 1
    @OscarGarcia Suelo hacer uso del die(); pero se me escapo en esta ocasión :), Aun así respecto a lo otro , es la manera mas sencilla de hacer que se me ocurrió al momento ya que al final, me parece mas efectivo poner 3 lineas de codigo que los las 3 alternativas mencionadas por el OP por las razones que enumero en la respuesta. Y tendria que probarlo pero creo que seria posible hasta resumirlo a un require "seguridadInclude.php"; que conetenga esas lineas de codigo
    – CristianS9
    el 10 ago. 2018 a las 10:15

Tu Respuesta

Al pulsar en “Publica tu respuesta”, muestras tu consentimiento a nuestros términos de servicio, política de privacidad y política de cookies

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.