テーマファイル内からデータベース認証情報を取得する

Question

私はフリーランサーが私のためにプログラムに取り組んでいます。

私は彼にFTP経由でテーマフォルダへのアクセス権を与えました。彼は phpMiniAdmin をそのフォルダにアップロードし、どういうわけかデータベースの認証情報を取得しました。それを使用してサインインしました。

彼はどのようにしてそれらの資格情報を入手しましたか？サーバーにファイルをアップロードできるようになると使用できる脆弱性はありますか？

Answer 1

彼がする必要があるのは、このPHPコードを任意のテンプレートファイルに入れて実行することです。

var_dump(DB_NAME, DB_USER, DB_PASSWORD, DB_Host);

一行とそれはすべてのDBの資格情報を印刷します。

ご覧のとおり、脆弱性は必要ありません。

すべてのPHPコードはこれらの認証情報にアクセスできます。そしてそれはする必要があります - そうでなければDBにアクセスすることができないでしょう...

Answer 2

ファイルをアップロードできるのであれば、wp-config.phpからデータベースの認証情報を読み取ることができるphpファイルをアップロードできます。サーバーへのアップロードアクセス権を持つことで、ほとんど何でもできるようになります。あなたが信頼していない人々にそのアクセスを与えないでください。ここには脆弱性はありません、あなたはそれらにキーを与えただけです。