Thread View: pl.comp.lang.php
4 messages
4 total messages
Started by [sis]
Tue, 21 Aug 2001 10:16
PHP zrodlo na multi serwerze
Author: [sis]
Date: Tue, 21 Aug 2001 10:16
Date: Tue, 21 Aug 2001 10:16
25 lines
1744 bytes
1744 bytes
Witam, Moze mam delikatnego 'hopla' ale w jaki sposob ominac mozliwosc podejrzenia zrodla na serwerze ktory udostepnia wiekszej ilosci osob interpreter php. majac: /home/user/httpd/podejrzyj.php /home/inny/httpd/skrypt.php mozna na koncie 'user' w latwy sposob wyciagnac zrodlo z konta 'inny' (zaleznie z jakim ustawieniem pracuje php) jak to ominac? pal szesc mozliwosc odpalenia skryptu (tu zadziala exit();) ale kwestia zrodla dalej pozostaje w kwestii niebezpieczenstwa. jakie sa inne niebezpieczenstwa i jak sie przed nimi ustrzec? co o tym sadzicie, jakie macie rady i pomysly? zapraszam do dyskusji. pozdrawiam, Kamil -- ::''::./: dEsIgn iNSPiraTioN ..::':..::.:'::...:.>>>.... :: Kazdy z nas, gdzies gleboko w srodku jest dzieckiem :: :: Kamil sisqo(at)board.pl - http://3575206806/ :: ::,:::::,:::::::::::::::::,:::,:::,:::::::::::::::::::,::
Re: PHP zrodlo na multi serwerze
Author: JZ
Date: Tue, 21 Aug 2001 12:06
Date: Tue, 21 Aug 2001 12:06
18 lines
1495 bytes
1495 bytes
On Tue, 21 Aug 2001 12:16:10 +0200, "[sis]" <sisqo@board.pl> wrote: >Moze mam delikatnego 'hopla' ale w jaki sposob ominac mozliwosc podejrzenia >zrodla na serwerze ktory udostepnia wiekszej ilosci osob interpreter php. > >majac: >/home/user/httpd/podejrzyj.php >/home/inny/httpd/skrypt.php > >mozna na koncie 'user' w latwy sposob wyciagnac zrodlo z konta 'inny' Wystarczy że zamkniesz prawa dostępu do katalogu. Np. na Unixie/Linuxie: chmod go-rw /home/user/httpd/. Zostawiasz tylko atrybut x aby można było odpalić skrypty. Ale nie będzie można ich oglądać. -- JZ programmer@[3585753410.cut]
Re: PHP zrodlo na multi serwerze
Author: leming nine
Date: Tue, 21 Aug 2001 15:53
Date: Tue, 21 Aug 2001 15:53
33 lines
2147 bytes
2147 bytes
> Wystarczy że zamkniesz prawa dostępu do katalogu. > Np. na Unixie/Linuxie: chmod go-rw /home/user/httpd/. > Zostawiasz tylko atrybut x aby można było odpalić > skrypty. Ale nie będzie można ich oglądać. Bynajmniej, nie jest to takie proste. Jeśli zabronisz czytania dla innych (others), to Apache uruchamiany jako użytkownik nobody/www-data nie będzie mógł ich przeczytać. A skoro tak, wypisze napis: 401 Forbidden i sorry... Jeśli już, można Apache'a zapuszczać dla każdego użytkownika osobno, jako tenże. Nie jest to jednak rozwiązanie eleganckie, ponieważ może być tylko jedna aplikacja nasłuchująca na jednym porcie. Port-mapping?! Jeśli użytkownicy są na jednym kompie, jest to bardzo trudne do ominięcia... chyba, że zastosować by jakieś autorskie rozwiązania, ale trzebaby było chyba napisać moduł do Apache'a, który 'szanuje' własność użytkowników... Można natomiast zrobić auto-prepend-file w php.ini, który sprawdzi czyją własnością jest aktualnie wykonywany skrypt ($SCRIPT_FILENAME) i porówna go z bazą danych co do katalogów użytkowników i ich uprawnień. Ale z tym troszku roboty będzie... Poza tym, można po prostu zablokować PHP Apache'em: 'php_flag engine off', ale nie wiem, czy to nie będzie godzić w ofertę serwera :) -- l9
Re: PHP zrodlo na multi serwerze
Author: Krzysztof Janiszewski
Date: Tue, 21 Aug 2001 21:43
Date: Tue, 21 Aug 2001 21:43
21 lines
1484 bytes
1484 bytes
Witam > Moze mam delikatnego 'hopla' ale w jaki sposob ominac mozliwosc podejrzenia > zrodla na serwerze ktory udostepnia wiekszej ilosci osob interpreter php. > > majac: > /home/user/httpd/podejrzyj.php > /home/inny/httpd/skrypt.php Najlepiej byłoby gdyby provider coś takiego zabezpieczał poprzez odpowiednie skonfigurowanie virtual serwerów (zmienne user_dir i doc_root) -- Pozdrawiam ---- Krzysztof Janiszewski IT Partner www.it-partner.com.pl - oprogramowanie dla kawiarni internetowych www.fr.pl - konta e-mail, serwery wirtualne
Thread Navigation
This is a paginated view of messages in the thread with full content displayed inline.
Messages are displayed in chronological order, with the original post highlighted in green.
Use pagination controls to navigate through all messages in large threads.
Back to All Threads