<! - -> скобки для комментариев в PHP

Question

Я только что обнаружил, что вы можете использовать <!-- --> скобки в PHP для ввода команд в незащищенных формах. Я не смог найти никакой информации об этих скобках в PHP. Я знаю, что они используются в структурах XML. Я попробовал поискать в Google, но Google Simple избегает этих скобок.

Они похожи на /* */ комментарии в PHP?

Редактировать: Вот где я узнал. http://nacereddine.wordpress.com/2008/10/02/hack-this-site-basic-8/

Answer 1

<-- запускает HTML-комментарий.

--> заканчивает комментарий HTML.

Еще до того, как PHP завоевал доминирующее положение, которым он сегодня пользуется, веб-разработчики хотели получить динамический контент для продукта веб-серверов без необходимости обучения программированию. Это привело к изобретению Включения на стороне сервера (SSI) . Вы бы вызвали SSI со следующим синтаксисом

<-- #ssi-directive-name list="of" the="paramaters" -->

Наиболее распространенной из них была директива <-- #include ..., которая позволяла вам включать содержимое другого файла. HTML-комментарий, такой как синтаксис, был выбран таким образом, чтобы директива могла быть включена в документ HTML и при этом считаться допустимым HTML.

Уже тогда использование директивы #exec было осуждено. Считалось, что наличие веб-запроса запускает процесс на сервере и вызывает проблемы. Тем не менее, связанная статья ужасно написана. Чтобы использовать SSI для компрометации паролей на сервере, вам нужны права (взломанные или предоставленные) для создания файлов на сервере. Дыра в безопасности здесь не столько поддерживает exec SSI (хотя он не должен быть включен), сколько в некоторой другой дыре, которая изначально позволяла пользователю получить доступ на запись к машине.

Если неясно, это не имеет ничего общего с PHP.

Answer 2

Это не имеет ничего общего с PHP, это SSI , который использует <!--#command--> в качестве синтаксиса.