# Comhaid phpinfo(): cén fáth a gcaithfidh siad imeacht

> Nochtann comhad phpinfo dearmadta cosáin, modúil agus uaireanta sonraí rochtana. Conas comhaid den sórt sin a aimsiú, a bhaint agus PHP a sheiceáil níos sábháilte.

Foinse: https://phpsos.de/ga/blog/phpinfo-dateien-entfernen/  
Staid: 25/10/2026  
Soláthraí: PHP SOS, Cabhair éigeandála PHP agus slándáil freastalaí. Cabhair láithreach trí WhatsApp: https://wa.me/491736494914?text=Dia%20duit%2C%20a%20PHP%20SOS%2C%20t%C3%A1%20cabhair%20de%20dh%C3%ADth%20orainn%20len%C3%A1r%20bhfreastala%C3%AD%20PHP.%20Cuideachta%3A%20%E2%80%A6%20Su%C3%ADomh%20gr%C3%A9as%C3%A1in%3A%20%E2%80%A6

**Go achomair:** Taispeánann comhad nach ndéanann ach `phpinfo()` a ghlaoch do gach cuairteoir leagan, modúil, cosáin agus socruithe PHP, go minic athróga timpeallachta le sonraí rochtana freisin. Maidir le slándáil phpinfo, mar sin: ná fág comhaid den sórt sin sa webroot go buan, scrios tar éis úsáide iad agus seiceáil staid PHP trí bhainistiú pacáistí agus cumraíocht. Ní chruthaíonn aschur phpinfo an stádas paistithe i gcoinne PHP2Shell ar aon nós.

## An comhad tástála a fhanann

Ón 21.10.2026 seiceálann na mílte riarthóir cén leagan PHP a sheachadann a suíomhanna gréasáin. Is eol an bealach is tapúla: comhad `info.php` a chruthú le líne amháin, é a ghlaoch sa bhrabhsálaí, an toradh a léamh. Oibríonn sé sin. Tosaíonn an fhadhb ina dhiaidh sin, nuair a dhéantar dearmad ar an gcomhad.

Maireann comhaid den sórt sin go neamhghnách fada. Téann siad le haistrithe, críochnaíonn siad i gcúltacaí agus tagann siad chun solais blianta ina dhiaidh sin in eolairí nach bhfuil aithne ag aon duine orthu a thuilleadh. Iarrann scanóirí uathoibrithe ainmneacha tipiciúla comhad i gcónaí. An rud a bhí ina chuidiú don riarthóir, is plean tógála an fhreastalaí é don ionsaitheoir.

Tá tionchar ar ghníomhaireachtaí agus ar óstálaithe le go leor suíomhanna custaiméirí go háirithe. An té a sheiceálann scórtha suíomhanna gréasáin i seachtain ghnóthach, cruthaíonn sé scórtha comhad tástála go tapa. Is leor fillteán dearmadta amháin chun go mbeidh an comhad inghlaoite míonna ina dhiaidh sin.

## Cad a nochtann phpinfo() agus cén fáth a bhfuil tábhacht leis don slándáil

De réir lámhleabhar PHP, aschuireann `phpinfo()` staid reatha PHP. Trí tairisigh is féidir a rialú cé na codanna a thaispeántar; gan sonrú is gach rud é.

| Réimse (tairiseach) | Ábhar de réir an lámhleabhair | Cén fáth a bhfuil sé íogair |
|---|---|---|
| `INFO_GENERAL` | tógáil, suíomh php.ini, freastalaí gréasáin, córas | nochtann sé an córas oibriúcháin agus cosáin |
| `INFO_CONFIGURATION` | luachanna áitiúla agus máistir gach treorach | léiríonn sé an bhfuil `disable_functions` nó `open_basedir` i bhfeidhm |
| `INFO_MODULES` | eisínteachtaí luchtaithe lena socruithe | feiceann ionsaitheoirí cé na feidhmeanna atá ar fáil |
| `INFO_ENVIRONMENT` | athróga timpeallachta | is minic sonraí rochtana bunachair sonraí nó API anseo |
| `INFO_VARIABLES` | athróga réamhshainithe (Environment, GET, POST, Cookie, Server) | tá ceanntásca agus fianáin an iarratais reatha ann |

Is iad an dá líne dheireanacha is contúirtí. Is maith le feidhmchláir nua-aimseartha sonraí rochtana a luchtú ó athróga timpeallachta, mar shampla ó chomhad `.env` nó ó chumraíocht coimeádáin. Bíonn na luachanna seo sa téacs soiléir san aschur. Conas rúin den sórt sin a chosaint go bunúsach, déanann an t-alt [Sonraí rochtana agus comhaid .env a chosaint i gceart](https://phpsos.de/ga/blog/env-dateien-schuetzen/) cur síos air.

Ina theannta sin: taispeánann an t-aschur luachanna an iarratais atá ar siúl, mar sin fianáin agus ceanntásca freisin. Má thig le hionsaitheoir cuairteoir a threorú chuig an leathanach agus an freagra a léamh, mar shampla trí laige Cross-Site Scripting in áit eile, éiríonn fianáin a bhfuil HttpOnly marcáilte orthu infheicthe fiú.

## Cén fáth nach cruthúnas i gcoinne PHP2Shell é phpinfo

Chruthaigh a lán daoine an comhad díreach chun an stádas paistithe a sheiceáil. Ní oireann sé chuige sin ach go páirteach. Cuireann dáiltí agus óstálaithe ceartúcháin i bhfeidhm go minic mar backport; de réir tuairiscí taispeánann Ubuntu 24.04, mar shampla, 8.3.6 fós tar éis an nuashonraithe. Mar sin is beag a insíonn an uimhir a thaispeántar. A mhalairt: ní chruthaíonn uimhir reatha gur atosaíodh na hoibrithe go léir.

Is iontaofa staid an phacáiste le huimhreacha CVE sa changelog, curtha leis an atosú ar gach próiseas PHP. Conas é sin a dhéanamh, míníonn an t-alt [Leagan PHP agus stádas paistithe a sheiceáil i gceart](https://phpsos.de/ga/php2shell/php-version-pruefen/).

Tá a áit ag aschur sealadach sa chomhthéacs gréasáin fós: léiríonn sé cén php.ini agus cé na luachanna atá i bhfeidhm i ndáiríre don suíomh gréasáin, mar léann an líne ordaithe cumraíocht eile go minic. Míníonn [php.ini mínithe](https://phpsos.de/ga/php/php-ini-erklaert/) an cúlra faoi leibhéil agus tosaíocht. Má tá sé sin de dhíth ort, déan é le cosaint rochtana, le hainm comhaid randamach agus ar feadh nóiméad amháin.

Do fhormhór na gceisteanna tá bealaí níos fearr ann ar aon nós. Tá leagan PHP linne FPM ina cumraíocht agus sa liosta próiseas. Is féidir luachanna aonair a iarraidh le script lasmuigh den webroot trí `ini_get()`, gan gach rud a nochtadh. Agus i bpainéil óstála taispeánann an comhéadan an leagan sannta do gach suíomh gréasáin, cé gan aon ráiteas faoi backports.

## Comhaid dhearmadta a aimsiú: céimeanna nithiúla seiceála

Seo conas a aimsíonn tú seanrudaí ar fhreastalaí Linux. Ní léann na horduithe ach agus ní athraíonn siad aon rud.

1. **Comhaid le glao phpinfo a chuardach** (cosán a oiriúnú):

```bash
grep -rlE "phpinfo[[:space:]]*\(" /var/www --include="*.php" 2>/dev/null
```

2. **Ainmneacha comhad tipiciúla a sheiceáil**, fiú gan torthaí san ábhar:

```bash
find /var/www -type f \( -iname "info.php" -o -iname "phpinfo.php" -o -iname "test.php" -o -iname "i.php" \) 2>/dev/null
```

3. **Torthaí a mheas:** Ní comhad tástála gach tarlú. Is féidir le huirlisí riaracháin, painéil nó frámaí `phpinfo()` a úsáid taobh thiar de logáil isteach. Is é an rud cinniúnach an bhfuil an comhad inrochtana ón idirlíon gan logáil isteach.

4. **Rochtain a sheiceáil sa loga** sula scriosann tú:

```bash
grep -E "GET /(info|phpinfo|test|i)\.php" /var/log/nginx/access.log* 2>/dev/null | tail -n 50
```

5. **Scrios agus malartaigh rúin:** Má bhí pasfhocal nó eochair san aschur agus an comhad poiblí, meastar go bhfuil an luach ar eolas. Athraigh é.

> **Leid:**
> D'fhéadfadh tarlú le dáta cruthaithe anaithnid agus ábhar suntasach in aice le glao phpinfo a bheith ina chúldoras freisin. Ansin ná scrios amháin é, ach sábháil é agus bíodh sé seiceáilte, féach [Webshells a aithint agus a bhaint](https://phpsos.de/ga/ratgeber/webshell-erkennen/).

## Cosc buan seachas glanadh

Cinntíonn trí bheart nach dtiocfaidh an topaic ar ais. Ar dtús: `phpinfo` a chur le liosta `disable_functions` in php.ini don chomhthéacs gréasáin. Seiceáil roimh ré an dteastaíonn an fheidhm ó do phainéal le haghaidh leathanach stádais. Conas a oibríonn an socrú agus cá bhfuil a theorainneacha, tá sé le fáil faoi [disable_functions a úsáid i gceart](https://phpsos.de/ga/ratgeber/disable-functions/).

```ini
; php.ini d'FPM nó d'Apache, ansin gach próiseas PHP a atosú
disable_functions = phpinfo
expose_php = Off
```

Ar an dara dul síos: soláthar trí phróiseas seasta amháin, mar shampla trí Git nó trí líne phíobáin tógála, ionas nach dtéann comhaid aonair isteach sa webroot de láimh. Ar an tríú dul síos: baineann faisnéis stádais le monatóireacht nó le fardal, ní le leathanach poiblí.

Baineann `expose_php = Off` an ceanntásc freisin lena dtugann PHP a leagan i ngach freagra. Ní thagann sé in ionad nuashonraithe, ach tógann sé faisnéis áisiúil ó scanóirí uathoibrithe. An té a bhfuil roinnt daoine ag a bhfuil rochtain ar an bhfreastalaí, ba cheart rialacha simplí a aontú freisin: scriostar comhaid tástála sa chéim oibre chéanna inar cruthaíodh iad, ní „níos déanaí“.

## Conas a chabhraíonn PHP SOS go nithiúil?

- Cuardaímid do webroots le haghaidh comhaid phpinfo, scripteanna tástála agus seanrudaí eile agus déanaimid gach tarlú a mheas.
- Déanaimid rochtain ar chomhaid a aimsíodh a mheas agus insímid duit cé na rúin ar cheart duit a mhalartú.
- Cruthaímid an stádas paistithe i gcoinne PHP2Shell trí changelog an phacáiste agus tosú próisis seachas trí thaispeáint leagain.
- Cuirimid `disable_functions`, `expose_php` agus cruatúcháin eile i bhfeidhm go buan mar chuid den [chruatú freastalaí](https://phpsos.de/ga/leistungen/server-haertung/).

**Conclúid:** Cruthaítear comhad phpinfo i soicindí agus déantar dearmad air chomh tapa céanna. An té a lorgaíonn agus a bhaineann anois é, dúnann sé sceitheadh sonraí gan ghá agus braitheann sé ar chruthúnas iontaofa don stádas paistithe.


## Ceisteanna coitianta

**An laige slándála í comhad phpinfo ina cheart féin?**  
Ní osclaíonn sé rochtain, ach tugann sé cur síos mionsonraithe ar an bhfreastalaí d'ionsaitheoirí: leagan, modúil, cosáin, socruithe agus, ag brath ar an timpeallacht, athróga timpeallachta freisin. Éascaíonn sé sin ionsaithe dírithe agus is féidir leis sonraí rochtana a nochtadh.

**An gcruthaíonn uimhir an leagain i phpinfo go bhfuil PHP2Shell paistithe?**  
Ní chruthaíonn. Cuireann dáiltí agus óstálaithe ceartúcháin i bhfeidhm go minic mar backport, fanann an uimhir a thaispeántar mar an gcéanna ansin. Cruthaíonn changelog an phacáiste agus deimhniú an tsoláthraí an stádas paistithe, chomh maith le hatosú gach próisis PHP.

**Cad atá le déanamh má bhí comhad phpinfo poiblí ar feadh i bhfad?**  
An comhad a scriosadh, a sheiceáil sa loga rochtana cé a ghlaoigh air, agus gach rún a bhí san aschur a mhalartú, mar shampla pasfhocail bunachair sonraí nó eochracha API ó athróga timpeallachta.

**An féidir liom phpinfo() a mhúchadh go hiomlán?**  
Is féidir, trí disable_functions in php.ini an chomhthéacs gréasáin. Seiceáil roimh ré an n-úsáideann painéal nó feidhmchlár an fheidhm do leathanaigh stádais, agus atosaigh na próisis PHP ina dhiaidh.

## Foinsí

- [Lámhleabhar PHP: phpinfo()](https://www.php.net/manual/de/function.phpinfo.php)
- [OWASP Top 10](https://owasp.org/www-project-top-ten/)
- [php.net: fógraí slándála](https://www.php.net/)