In vielen größeren Softwareprojekten haben sich die Entwickler auf humorvolle Art verewigt, in dem sie kleine “Spielereien” in der Software versteckt haben, die man nicht so einfach findet. Diese sog. “Easter Eggs” sind etwa Logos, Zitate der Entwickler oder einfach nur eine Namensliste der Entwickler. In dieser kleinen Artikelserie stelle ich ein paar dieser Easter Eggs vor.
In der heutigen Ausgabe geht es um versteckte Ostereier in PHP. Die Easter Eggs werden über besondere Strings aufgerufen, die einfach an eine beliebige PHP-Datei als GET-Parameter übergeben werden. Die Easter Eggs sind schon länger bekannt, aber ich finds einfach einen gelungenen Einstieg in diese kleine Artikelserie 
- horrorkid.in?=PHPB8B5F2A0-3C92-11d3-A3A9-4C7B08C10000 - PHP Credits
- horrorkid.in?=PHPE9568F34-D428-11d2-A769-00AA001ACF42 - PHP Logo
- horrorkid.in?=PHPE9568F35-D428-11d2-A769-00AA001ACF42 - Zend Logo
- horrorkid.in?=PHPE9568F36-D428-11d2-A769-00AA001ACF42 - Easter Egg
Das eigentliche Easter-Egg-Logo ist von Version zu Version verschieden. Dadurch lassen sich bedingt Rückschlüsse auf die eingesetzte PHP-Version ziehen. Wer das aus sicherheitstechnischen Gründen unterbinden möchte, der setzt in seiner PHP-Konfiguration einfach den Wert expose_php auf off. In meinen Augen ist das sicherheitstechnisch allerdings nicht relevant, wenn man stets die aktuelle PHP-Version nutzt und Updates auch zeitnah einsetzt, da aktuelle Versionen keinen public Exploits beinhalten (sollten ).
So long
Horrorkid
Joa darüber hatte ich auch mal berichtet. Es wird aber zusätzlich der X-Powered-By Header von expose_php gesetzt, was u.a. die PHP Version anzeigt. So ganz unbedenklich ist es also nicht.
http://dotxed.net/2011/websicherheit/information-disclosure-expose_php-als-php-indikator.html
Naja, deswegen ja auch mein Hinweis, man sollte schon die aktuelle PHP-Version verwenden, denn die sollte doch weitestgehend unkritisch sein? Sobald Public Exploits auftauchen, sind die Entwickler doch mit einem Update recht flot…
Richtig, Security by Obscurity ist eine Endlosdiskussion. Sagen wir es so: Prinzipiell hast du recht, benutzt man veraltete Software kann es aber problematisch werden