Escondendo o PHP

Em geral, segurança por obscuridão é uma das mais fracas formas de segurança. Mas em alguns casos, cada pequeno bit extra de segurança é desejável.

Algumas poucas técnicas simples podem ajudar a esconder o PHP, possivelmente atrasando um invasor que está tentando descobrir fraquezas em seu sistema. Setando expose_php = off em seu arquivo php.ini, você reduz a quantidade de informação disponível para ele.

Uma outra tática é configurar os servidores tais como apache para interpretar diferentes tipos de arquivos através do PHP, ou com uma diretiva .htaccess, ou na própria configuração do apache. Você pode então usar extensões de arquivos enganadoras:

Exemplo 15-18. Escondendo PHP fazendo parecer com outra linguagem

# Fazer o código PHP parecer com outros tipos de códigos
AddType application/x-httpd-php .asp .py .pl
Ou escondê-lo completamente:

Exemplo 15-19. Usando tipos desconhecidos para extensões do PHP

# Fazer o código PHP parecer com tipos de códigos desconhecidos
AddType application/x-httpd-php .bop .foo .133t
Ou escondê-lo no código HTML, que tem baixa chance de ser atingido porque todos os HTML serão interpretados pelo PHP:

Exemplo 15-20. Usando tipos de HTML para extensões do PHP

# Fazer todo o código parecer com HTML
AddType application/x-httpd-php .htm .html
Para este exemplo trabalhar efetivamente, você deve renomeiar todos os seus arquivos PHP com as extensões acimas. Apesar dessa ser a forma de segurança através obscuridão, ela é a medida menos preventiva e com algumas desvantagens.