[PHP] File met chmod laten staan

[Brabrabra]

PHP:

chmod ("./bestand.php", 0777) or die("failed!");

Hoe gevaarlijk is het om een bestand met een dergelijke regel op een server te laten staan? (als de actie al is uitgevoerd)

Mijn webhoster wordt wat paranoia op het moment en als dit gevaarlijk is, wil ik hem voor zijn en het bestand verwijderen voor hij het ziet.

Dankje

[Soultaker]

Tja, wat is gevaarlijk? Andere gebruikers kunnen in het bestand schrijven en aangezien 'ie ook executable is, ook willekeurige programma's onder jouw account uitvoeren. Dat lijkt me een behoorlijk probleem als de andere gebruikers op je server niet te vertrouwen zijn. In een dedicated hosting scenario lijkt het me geen probleem.

Een betere vraag is misschien waarom je dit ueberhaupt zo wil instellen?

[Brabrabra]

Soultaker schreef op vrijdag 07 december 2007 @ 16:59:
Tja, wat is gevaarlijk? Andere gebruikers kunnen in het bestand schrijven en aangezien 'ie ook executable is, ook willekeurige programma's onder jouw account uitvoeren. Dat lijkt me een behoorlijk probleem als de andere gebruikers op je server niet te vertrouwen zijn. In een dedicated hosting scenario lijkt het me geen probleem.

Een betere vraag is misschien waarom je dit ueberhaupt zo wil instellen?

Er zijn geen andere ftp gebruikers, als je dat bedoelt.

Ik gebruik hem nogal vaak, om bepaalde bestandjes die door de website zelf zijn aangemaakt door ftp overschrijfbaar te kunnen maken.

Mijn hoster is vooral bang voor hackers, maar als die toch al op de server zitten, kunnen ze zelf ook zo'n bestandje aanmaken als ze zouden willen, toch?

[Creepy]

Als ze op die server zitten dan kunnen ze bij alle bestanden die jij hebt gechmod naar 777, ongeacht welke gebruiker ze zijn en welke rechten ze hebben. Durf je dat risico echt aan? Als je er bijv. een DB wachtwoord in hebt zitten dan is dat door iedereen te lezen.

En je bent de enige FTP user? Voor jou domein of op de gehele server? Als er meerdere domeinen op je server draaien dan ben je zeer waarschijnlijk niet de enige FTP user.

[Soultaker]

Brabrabra schreef op vrijdag 07 december 2007 @ 17:04:
Er zijn geen andere ftp gebruikers, als je dat bedoelt.

Ik heb het vooral over gebruikers als in accounts op de server. Als jij de enige bent die de server gebruikt is er geen gevaar (je kunt zo'n bestand normaalgesproken niet van buiten af overschrijven).

Dan nog is het in zo'n scenario uit voorzorg beter om alleen de groep schrijfrechten op het bestand te geven en de permissies op 775 (of 770) te zetten. Als je al een groep www hebt kun je daar je eigen gebruiker aan toevoegen. Bedenk dan wel dat PHP script meestal ook via de webserver door gebruiker www uitgevoerd wordt, dus als andere gebruikers ook scripts uploaden kunnen ze alsnog bij dat bestand, maar dat is zonder suexec wrapper o.i.d. niet op te lossen.

Al met al lijken me dit meer vragen voor NOS dan voor PRG trouwens.

[ Voor 11% gewijzigd door Soultaker op 07-12-2007 17:22 ]

[Brabrabra]

Als dit topic ergens anders hoort, dan kan hij uiteraard verplaatst worden.

Ik ben niet de enige gebruiker op de server.

Voor de bestanden die op 777 staan, geldt dit:

• Mijn ftp gebruiker moet hem kunnen overschrijven (geen idee in welke groep die zit, waar kan je dat uberhaupt wijzigen?)
• De website (php) moet hem kunnen overschrijven

Kan dit ook op een veiligere manier?

De rest van de bestanden zet ik uiteraard niet op 777.

Help mij arme noob...

[Soultaker]

Als de webserver schrijftoegang moet hebben, en zowel jij als andere gebruikers kunnen bestanden door de webserver uit laten voeren (via PHP scripts bijvoorbeeld), dan is het fundamenteel onmogelijk om het gat te dichten. Je bent dan gewoon kwetsbaar voor aanvallen van lokale gebruikers, maar niet van buitenaf.

Wellicht is het probleem op te lossen door PHP in safe mode te laten draaien, zodat verschillende gebruikers niet bij dezelfde bestanden kunnen. Daarvoor moet je bij je hosting provider zijn.

[ Voor 4% gewijzigd door Soultaker op 07-12-2007 18:36 ]