unangenehme erkenntnis -- >safe_mode off

Ich spiele gerade auf meinem Testserver herum.
safe_mode ist off.

Bei meinem eigentlichen Provider auch.

nun habe ich eine Datei in das httpdocs hochgeladen die folgendermassen aussieht.

<?php
exec("less /srv/www/vhosts/nocheinhost/httpdocs/testdir/typo3conf/localconf.php",$a);
var_dump($a);
?>

Nun beim Aufruf der Datei wird ja dann die localconf.php angezeigt.Datenbankpasswort u.s.w. alles im Klartext.
Das geht doch theoretisch Systemweit.Will sagen, irgendein Fuzzi der bei dem selben Provider ist kann dann in mein http Verzeichnis springen und alles auslesen.

Bin gerade relativ geschockt und hoffe das ich mich irre.

Kann mich mal jemand beruhigen ?

Kann mich mal jemand beruhigen ?

Wenn dein Provider kein open_basedir gesetzt hat: Nein.

oki, laut phpinfo wurde open_basedir gesetzt

Musste aber gerade feststellen das die open_basedir direktive nicht für exec() gilt sondern nur für PHP Aktionen. Mit exec werden externe Programme angeprochen.Das open_basedir zieht da nicht. Habs auch mal getestet.