Debian webserver rechten door de war

[wolly_a]

Hallo,

Ik was even bezig om enkele bestanden die via mijn website waren geupload te veranderen. Om deze bestanden toegankelijk te maken moest ik voor die bestanden (plaatjes) de rechten met chmod veranderen. Nu ben ik bang dat ik ergens iets teveel heb veranderd en nu krijg ik geen toegang meer met FTP-en en ook als ik mijn website bezoek krijg ik een error: You don't have permission to access / on this server (error 403). Ik heb de search van GOT gebruikt, maar hiermee kan ik mijn probleem niet oplossen.

Het gaat om mijn servertje met Debian+Apache+PHP+MySQL. Ik heb dit destijds via een tutorial van PHPFreakz geinstalleerd en het heeft sinds augustus 2002 naar volle tevredenheid gewerkt. Nu weet ik even niet meer wat ik moet doen.

Ik denk dat het iets met CHMOD of CHOWN te maken heeft. De bestanden staan in de map home/ideaal/www. De rechten van de mappen opgezocht in putty:

map home: alle read/write/execute en set group ID on execute.
map ideaal: alle read/write/execute
map www: alle read/write/execute

Kijk ik bij Webmin bij de configuratie van Apache dan zie ik bij Virtuele Servers er eentje staan. De Document Root is "/home/ideaal/www" en bij de gebruikers staat bij gebruiken nobody en bij group nogroup. Ook bij ProFTPD staan de gebruiker en group zo ingesteld.

Kijk ik bij Webmin bij gebruikers en groepen, dan zie ik bij nobody staan dat de thuismap /home is en bij ideaal /home/ideaal.

Ik geloof dat ik wel zo ongeveer alles heb verteld. Ik hoop zo dat jullie me kunnen helpen, al is het alleen maar om mijn gegevens terug te krijgen (zowel bestanden als gegevens in de MySQLdatabase). Ben jullie eeuwig dankbaar!!

[Spider.007]

als alle bestanden onder de www map ook g/u/w rwx hebben dan moet de webserver er wel bij kunnen zelfs al draait deze onder nobody. Het is niet geheel netjes; maar als je chmod 777 * -R doet in /home/ideaal/www/ dan zou je er weer bij moeten kunnen

[blaataaps]

Spider.007 schreef op 01 June 2003 @ 15:54:
als alle bestanden onder de www map ook g/u/w rwx hebben dan moet de webserver er wel bij kunnen zelfs al draait deze onder nobody. Het is niet geheel netjes; maar als je chmod 777 * -R doet in /home/ideaal/www/ dan zou je er weer bij moeten kunnen

Wat dan ook heel handig is, is dat gelijk iedereen die toegang heeft tot je server via shell of ftp de bestanden kan wissen, veranderen, verplaatsen, handig!
Misschien moet je eens nadenken wat je teweeg kunt brengen voordat je zulk soort dingen post..

[Verwijderd]

typ in je console "chmod 755 /home/ideaal -R"

[edit]
Verder weet ik niet met welke user je in ftp inlogt, lijkt mij user ideaal, dan kun je dit nog even doen:

chown ideaal /home/ideaal -R

[ Voor 66% gewijzigd door Verwijderd op 01-06-2003 16:03 ]

[wolly_a]

Nee, dit leverde geen resultaat. Heb het geprobeerd en zowel website blijft error 403 alsmede ftp blijft dicht.

[Spider.007]

blaataaps schreef op 01 June 2003 @ 15:57:
[...]

Wat dan ook heel handig is, is dat gelijk iedereen die toegang heeft tot je server via shell of ftp de bestanden kan wissen, veranderen, verplaatsen, handig!
Misschien moet je eens nadenken wat je teweeg kunt brengen voordat je zulk soort dingen post..

Inderdaad; daarom zeg ik ook dat het niet slim is; maar de TS heeft dat immers al

map home: alle read/write/execute en set group ID on execute.
map ideaal: alle read/write/execute
map www: alle read/write/execute

Het lijkt mij ook een snelle methode om tot een oplossing te komen; alles opengooien totdat het werkt en daarna weer dichtmaken ipv alles 1 voor 1 controleren

[ Voor 13% gewijzigd door Spider.007 op 01-06-2003 16:07 ]

[Verwijderd]

Spider.007 schreef op 01 June 2003 @ 16:04:
[...]


Inderdaad; daarom zeg ik ook dat het niet slim is; maar de TS heeft dat immers al

[...]

Mjah zeg dan de volgende keer tenminste i.p.v. "niet echt slim" "echt niet slim" en laat die oplossing achterwege

Als de rechten al zo staan, dan zijn de rechten op de bovenliggende dir dusdanig dat apache er niet in kan komen

[ Voor 8% gewijzigd door Verwijderd op 01-06-2003 16:06 ]

[blaataaps]

Spider.007 schreef op 01 June 2003 @ 16:04:
[...]


Inderdaad; daarom zeg ik ook dat het niet slim is; maar de TS heeft dat immers al

Volgens mij zeg je niet dat het niet slim is, maar niet netjes. Niet nette oplossingen kunnen prima werken en slim zijn.

[wolly_a]

Hmmm.... alles opengooien heeft geen resultaat gehad als iemand een manier weet om bij mijn bestanden te komen en liefst ook bij mijn database, dan installeer ik de bende wel overnieuw, das niet zo'n probleem verder, maar ik moet die zooi hebben!

[Spider.007]

blaataaps schreef op 01 juni 2003 @ 16:07:
[...]

Volgens mij zeg je niet dat het niet slim is, maar niet netjes. Niet nette oplossingen kunnen prima werken en slim zijn.

Ik vindt niet nette oplossing niet slim; in de veronderstelling dat alles netjes en slim opgelost kan worden

Verwijderd schreef op 01 June 2003 @ 16:06:
[...]Als de rechten al zo staan, dan zijn de rechten op de bovenliggende dir dusdanig dat apache er niet in kan komen

Volgens mij kan apache er juist wel inkomen? Of zie ik iets over het hoofd; alles erboven heeft immers rwx voor iedereen? Dan kan apache er toch wel inkomen

[Verwijderd]

/home/ideaal zal wel de verkeerde rechten hebben

Als apache daar niet in kan komen, dan maken de rechten op www vrij weinig uit he

wolly_a: wat is dat nou voor een oplossing, voor een klein rechten probleempje
Begin eens met een dubbelcheck op de rechten en ga daarna de logfiles eens bekijken.

[ Voor 17% gewijzigd door Verwijderd op 01-06-2003 16:15 ]

[wolly_a]

Dacht ook dat het zou moeten kunnen, maar nee. Het blijft You don't have permission to access / on this server. Ik ben absoluut newbie als het gaat om Linux hoor, dus ik weet er geen ruk vanaf, maar hiervoor had ik allemaal gezellige mensen die mijn testwindowsmachientje sloopten en daarom ben ik overgestapt naar linux. Maar euh, kan het niet aan die gebruikersgroepen liggen?! De ene nobody en nogroup en de andere ideaal?!?!?

[Verwijderd]

Begin eens te controleren met welke rechten apache draait en zorg er dan eens voor dat de bestanden de juiste owner krijgen (lees: de naam waaronder apache draait).

oh ja en linux draaien vanwege de security, maar er dan verder niks van af weten heeft vrij weinig zin (lees: heeft geen zin). Houd het dan bij Windows, of verdiep je er wat meer in. Een systeem is zo goed beveiligd als de admin z'n verstand van zaken.

[ Voor 44% gewijzigd door Verwijderd op 01-06-2003 16:17 ]

[wolly_a]

Mmmm.... Nelske. Kan je me please even helpen met hoe ik die rechten van apache eruit krijg. Ik weet dat alles vragen niet helemaal de manier hier is op Got, maar ben er een beetje moedeloos van geworden.

[Bart]

doe eens een ls -l in /home om de rechten te zien. Je hebt toch shell access?

[Verwijderd]

ps aux | grep -e "httpd\|apache"

[Spider.007]

wolly_a schreef op 01 June 2003 @ 16:18:
Mmmm.... Nelske. Kan je me please even helpen met hoe ik die rechten van apache eruit krijg. Ik weet dat alles vragen niet helemaal de manier hier is op Got, maar ben er een beetje moedeloos van geworden.

Ga anders in een puTTY sessie naar /home/ideaal/www en doe daar ls -alR en let dan op de users en groepen die voorbijkomen. Ook kun je direct de rechten controleren van die users. Alle content moet in de www root door de webserver geowned zijn (dus nobody/nogroup) desnoods doe je in chown nobody:nogroup in /home/ideaal/www en controleer je de eigenaars / rechten van /home; van /home/ideaal en van /home/ideaal/www Hier moet nobody / nogroup dus leesrechten op hebben.

[wolly_a]

@Nelske:

webserver:~# ps aux | grep -e "httpd\|apache"
root 160 0.0 2.3 4372 2252 ? S 16:05 0:00 /usr/local/apache
/bin/httpd
nobody 181 0.0 2.3 4384 2256 ? S 16:05 0:00 /usr/local/apache
/bin/httpd
nobody 182 0.0 2.3 4384 2256 ? S 16:05 0:00 /usr/local/apache
/bin/httpd
nobody 183 0.0 2.3 4384 2256 ? S 16:05 0:00 /usr/local/apache
/bin/httpd
nobody 184 0.0 2.4 4408 2332 ? S 16:05 0:00 /usr/local/apache
/bin/httpd
nobody 185 0.0 2.3 4384 2256 ? S 16:05 0:00 /usr/local/apache
/bin/httpd
nobody 249 0.0 2.4 4408 2340 ? S 16:06 0:00 /usr/local/apache
/bin/httpd
root 325 0.0 0.4 1332 428 pts/0 S 16:24 0:00 grep -e httpd\|ap
ache

[Verwijderd]

excute rechten zijn ook wel verdomd handig om in een directory te komen

wolly_a oftewel de httpd daemon draait als user nobody en dus ga je er voor zorgen dat de user nobody toegang tot de bestanden en dirs moet krijgen (als enige user! Iemand anders buiten jijzelf heeft daar namelijk niets te zoeken)

[ Voor 62% gewijzigd door Verwijderd op 01-06-2003 16:29 ]

[wolly_a]

@Bart

webserver:/home# ls -l
total 24
drwxr-xr-x 4 ideaal ideaal 4096 May 22 16:49 ideaal
drwxr-sr-x 4 root staff 4096 Mar 23 17:37 mysql
drwx------ 2 mysql users 4096 Dec 17 13:07 photoalbum
drwxrwsrwx 2 root staff 4096 Jul 31 2002 samba
drwx------ 2 mysql users 4096 Mar 20 17:00 site
drwxr-sr-x 2 root staff 4096 Nov 12 2002 temp

[Bart]

Apache zal wel niet uit de ideaal map kunnen lezen.

edit: waarom maak je geen map aan in / bijv www en geef die nobody rechten zoals apache. Dan heb je ook geen gekloot in je home map.

[ Voor 58% gewijzigd door Bart op 01-06-2003 16:33 ]

[wolly_a]

Hmm... en mijn ProFTP waarschijnlijk ook niet, maar ik weet niet zo goed hoe ik het moet fixen

[Spider.007]

Bart schreef op 01 June 2003 @ 16:29:
Apache zal wel niet uit de ideaal map kunnen lezen.

uit de dump die boven je staat blijkt rx voor iedereen.... wolly_a laat eens ls -al zien zodat de user / rechten van . een .. ook zijn te controleren

[wolly_a]

Oke

webserver:/home# ls -al
total 32
drwxrwsrwx 8 root staff 4096 Mar 23 18:18 .
drw-r-xr-- 21 root root 4096 Mar 23 17:05 ..
drwxr-xr-x 4 ideaal ideaal 4096 May 22 16:49 ideaal
drwxr-sr-x 4 root staff 4096 Mar 23 17:37 mysql
drwx------ 2 mysql users 4096 Dec 17 13:07 photoalbum
drwxrwsrwx 2 root staff 4096 Jul 31 2002 samba
drwx------ 2 mysql users 4096 Mar 20 17:00 site
drwxr-sr-x 2 root staff 4096 Nov 12 2002 temp

[Spider.007]

wolly_a schreef op 01 juni 2003 @ 16:36:
Oke

webserver:/home# ls -al
total 32
drwxrwsrwx 8 root staff 4096 Mar 23 18:18 .
drw-r-xr-- 21 root root 4096 Mar 23 17:05 ..
drwxr-xr-x 4 ideaal ideaal 4096 May 22 16:49 ideaal
drwxr-sr-x 4 root staff 4096 Mar 23 17:37 mysql
drwx------ 2 mysql users 4096 Dec 17 13:07 photoalbum
drwxrwsrwx 2 root staff 4096 Jul 31 2002 samba
drwx------ 2 mysql users 4096 Mar 20 17:00 site
drwxr-sr-x 2 root staff 4096 Nov 12 2002 temp

Zo te zien heb je in je root rx voor world weggehaald. dus even in de root

code:

chmod o+rx

uitvoeren

[wolly_a]

webserver:/# chmod o+rx
chmod: too few arguments
Try `chmod --help' for more information.

Er zit nog ietsjes mis...

[Spider.007]

wolly_a schreef op 01 juni 2003 @ 16:45:
webserver:/# chmod o+rx
chmod: too few arguments
Try `chmod --help' for more information.

Er zit nog ietsjes mis...

code:

chmod o+rx /

zo dan

[Bart]

nvm.

[ Voor 90% gewijzigd door Bart op 01-06-2003 16:48 ]

[wolly_a]

Oooooohh hij begint weer te werken Oeh!! Dankjewel allemaal!! Je hebt geen idee hoe dankbaar dat ik nu ben!

Zou iemand dit trouwens voor de grap stiekum hebben uitgehaald? Omdat mijn beveiliging niet op orde was!?

Ik beloof bij deze plechtig dat ik mijn uiterste best ga doen om mij meer te verdiepen in Debian zodat ik de beveiliging op orde kan brengen! En dit soort dingetjes niet meer voorkomen! Iemand tips voor een goed begin? Link of boekie?

Nogmaals! DANKJEWEL!

[Verwijderd]

FAQ Non-Windows Operating Systems - Update: 13/02 is wel een goede start

Vooral het stukje over rechten

Begin daarna maar eens met het uitdelen van een setje fatsoenlijke rechten op /home /home/ideaal en /home/ideaal/www inclusief bijbehorende bestanden

[wolly_a]

Top! Zal ik doen! Beloofd! Dankjewel voor je hulp!

[Spider.007]

Als ik jou was zou ik in het vervolg niet te veel 'spelen' als je niet weet wat je doet; je kunt je systeem hier namelijk ook de afgrond in helpen. Als je weet wat je doet heb je altijd een terugweg. Zorg dat je alles in kleine stapjes doet en tussendoor regelmatig test of alles nog naar behoren werkt.

succes

[Verwijderd]

Spider.007 schreef op 01 June 2003 @ 16:47:
[...]

code:

chmod o+rx /

zo dan

De ultime manier om de beveiliging van heel je systeem de vernieling in te helpen.

Niet echt slim volgens mij. Waarom zou je read EN execute permissies op alle files aan de hele wereld willen aanbieden?

[Verwijderd]

Verwijderd schreef op 01 June 2003 @ 17:02:
FAQ Non-Windows Operating Systems - Update: 13/02 is wel een goede start

Vooral het stukje over rechten

Begin daarna maar eens met het uitdelen van een setje fatsoenlijke rechten op /home /home/ideaal en /home/ideaal/www inclusief bijbehorende bestanden

Ik mis nog een commando dat ik vaak gebruik.

code:

chmod -R u=rw,go=r,a+X *

de 'a' en de 'X" zou je misschien kunnen toevoegen aan de FAQ

[ Voor 3% gewijzigd door Verwijderd op 01-06-2003 21:27 ]

[Spider.007]

Verwijderd schreef op 01 June 2003 @ 21:23:
[...]


De ultime manier om de beveiliging van heel je systeem de vernieling in te helpen.

Niet echt slim volgens mij. Waarom zou je read EN execute permissies op alle files aan de hele wereld willen aanbieden?

euh, waar zie jij een recursive vlag staan

[Guru Evi]

;-) Leuk he rechtjes. FTP, Mail en Apache aanvaarden niet alle rechten, dus zullen ze gewoon zeggen dat je er niet bij kan komen omdat je verkeerde rechten hebt ingesteld (vb. mijn FTP connect niet als ik mijn rootdir van de ftp world-writeable maak.
Weet je wat interessant is: /var/log-directory en andere logs.
Ook, de Linux Newbie Administration Guide.
Ik denk dat ik een website ga starten met gratis e-books ;-)

[Verwijderd]

Spider.007 schreef op 01 juni 2003 @ 21:26:
[...]


euh, waar zie jij een recursive vlag staan

Oeps, 8/7

ach, het is zondag.

[Verwijderd]

Verwijderd schreef op 01 juni 2003 @ 21:26:
[...]


Ik mis nog een commando dat ik vaak gebruik.

code:

chmod -R u=rw,go=r,a+X *

de 'a' en de 'X" zou je misschien kunnen toevoegen aan de FAQ

Als jij me vertelt hoe ik dat doe

Hint: Nelske heeft een zwart kleurtje en is dus gestopt met modden

[deadinspace]

Verwijderd schreef op 02 June 2003 @ 01:45:
[...]

Als jij me vertelt hoe ik dat doe

Hint: Nelske heeft een zwart kleurtje en is dus gestopt met modden

Ja, en ik ben ook zwart, dus ik kan het ook niet.

Oh, wacht

FAQ Non-Windows Operating Systems - Update: 13/02