Door Anoniem: Hoe, dat is om het even. Net zoals dat het om het even is hoe een phpscript bij de phpinterpreter terecht komt. Of er nu ergens .php of .joechei of helemaal niets van dat alles in de url staat, maakt niet uit. Zodra het opvragen van een url tot gevolg heeft dat er phpcode uitgevoerd wordt, moet je die code inspecteren op eventuele lekken. daarom is het belangrijk om eerst de omgeving te verkennen, stel je zelf daarbij bepaalde vragen: - word er apache gedraait of iets anders? - welke applicaties draaien op welke poorten - welke OS versie heeft de server - welke php versie, en welke sql db etc. - wat voor cms gebruiken ze, - run eens een scan met acunetix, wat voor vulns geeft deze aan? en zijn dit false/positivies? - zijn bepaalde codes wel juist sanitized? op basis van deze informatie kun je bijvoorbeeld exploits aanelkaar koppelen om een hogerdoel te bereiken (root access bijv) of xss een java keylogger laten runnen. denk als je tegenstander, als je weet hoe je erin komt weetje ook hoe ...