710 achter 777 veilig?

[sdk1985]

Na letterlijk uren te hebben gelezen over de file permissies kwam ik ergens de suggestie tegen dat 777 folders niet door andere users kunnen worden beschreven op het moment dat de home directory van de user als 700 staat ingesteld.

Ik vroeg mij af of

a) dit inderdaad klopt
b) of 710 dan niet ook werkt (dat blijkt default te zijn op centos 6)
c) Kan een php script van een andere user niet alsnog bestanden schrijven op iemand anders zijn account als de webserver via apache:apache werkt?

[Verwijderd]

a: klopt, een user heeft read permissions nodig op een file, en execute permissions op alle parent directories
b: wat is "niet werken"?
c: ligt aan de rest van de configuratie

Misschien moet je even gewoon zeggen wat je probeert te bereiken in plaats van vage vragen te stellen.

[_eXistenZ_]

a: Klopt alleen als de directories met 777 in de directory met 710 staan. Als ze er buiten staan maakt het natuurlijk weinig uit wat de rechten van de homedir zijn.

Verder met Cheatah: probeer te omschrijven wat je wilt bereiken.

[sdk1985]

Verwijderd schreef op zaterdag 22 november 2014 @ 01:43:

b: wat is "niet werken"?

Misschien moet je even gewoon zeggen wat je probeert te bereiken in plaats van vage vragen te stellen.

Werken is het beschrijven van een 777 map van iemand anders.

Verwijderd schreef op zaterdag 22 november 2014 @ 01:43:

Misschien moet je even gewoon zeggen wat je probeert te bereiken in plaats van vage vragen te stellen.

Gaat hier om een een veiligheidsissue die eigenlijk bij twee dingen terugkomt. Een reseller pakket dat ik heb en een VPS die ik deel. De VPS heb ik zelf ssh toegang die gebruikt CentOS/Direct Admin met standaard configuratie dus geen Suphp of mod_ruid2. Het reseller pakket is ook op basis van directadmin en lijkt cloudlinux te gebruiken zonder suphp/modruid2.

In beide gevallen moeten een aantal directories 777 staan anders kan Wordpress/Joomla/etc niet schrijven tenzij de files/folders op "apache:apache" staan. Denk aan cache permanent en andere zaken tijdelijk bij updaten van plugins.

Ik wil graag voorkomen dat als de andere site een jaar niet update mijn sites daar geen last van ondervinden. Denk aan een deface via de 777 folders of een mailscriptje dat gaat lopen spammen (ook al heb ik een max mail limit, toch irritant).

In eerste instantie lijkt apache:apache instellen in plaats van 777 een soort van veilige oplossing. Dit was de oplossing van de reseller host. Maar als ik er beter over na denk dan kan een willekeurig php script van de andere site in theorie in die folder schrijven. Immers de folders/files zijn van apache, en php draait onder apache. Toch?

Dus ALS het 710 verhaal klopt dan lijkt het mij veiliger is de folders onder de username te houden en die waar nodig 777 in te stellen zetten. Of maakt het geen fluit uit en is alles 'slecht'?

[ Voor 20% gewijzigd door sdk1985 op 22-11-2014 15:49 . Reden: duidelijker gemaakt ]

[Hero of Time]

Om dit allemaal te snappen hoe het werkt, moet je eerst weten hoe rechten op bestanden en mappen werken. Als ik een map ergens neerzet met mijn gebruiker en groep als eigenaar en de rechten op de map is 710, dan kan jij niets in de submappen doen, zelfs al zou ik die op 777 zetten. Je zit tenslotte niet in de groep die execute rechten heeft op de map (waarmee je effectief de map in kan, maar geen ls op uit kan voeren).

Wat je nu voorstelt, is hoe dan ook slecht. Wil je 't echt veilig doen, dan maak je voor elke site een jail zodat ze niet in elkaars mappen kunnen schrijven (dus een lekke Wordpress site geeft niet de rest van je sites vrij).

[sdk1985]

Op de reseller hosting heb ik helaas geen invloed. Bij de vps kan ik wel alles aanpassen. Is er een beginners vriendelijke manier om dit te regelen? Of komt dit neer op SuPHP of Modruid2?

[ Voor 31% gewijzigd door sdk1985 op 23-11-2014 19:26 ]