Dotaz: htaccess jen read only?

[B0biN]

Dobrý den,

napadne někoho jak nastavit apache, aby byl soubor htaccess jen read only?

Jde o to, aby ho např. uživatel www-data nemohl přepsat. Nejde mi o nastavení klasických práv na souboru, ale aby se soubor htaccess pres apache (php) tvářil jen jako read only.

Zápis do něj se bude řešit jen přes SFTP.

Děkuji

---

---

Odpovědi

[Filip Jirsák]

Můžete si udělat hack do PHP a ošetřit všechna místa, kde by bylo možné ten soubor přepsat. Což je ovšem nereálné. A nebo to můžete udělat normálně přes souborová práva – zápis povolit jen uživateli či skupině, která to bude měnit přes SFTP, webovému serveru nebo ostatním povolit jen čtení.

[B0biN]

U mashostingu nemožné každému nastavit zvlášť právo na htaccess. Potřebuji nějak apache přinutit, aby ignoroval souborová práva a bral ho jen jako read only.

[Max]

Tak toto nějak nechápu. Pokud chceš uživatelům povolit .htaccess, ale chceš ho ovládat jen sám, tak proč nenastavit FS práva? Co je na tom nemožného? Při generování domény a adresářové struktury vytvořit i .htaccess s jinými právy? Nebo pomocí mini skriptu rozkopírovat .htaccess do všech domén?
Zdar Max

[Michal Kubeček]

Pokud chceš uživatelům povolit .htaccess, ale chceš ho ovládat jen sám, tak proč nenastavit FS práva?

V takovém případě je jednodušší - a výrazně efektivnější - soubory .htaccess vůbec nepoužívat.

[Filip Jirsák]

Můžete přeprogramovat Apache (ve skutečnosti asi spíš PHP), nic vám v tom nebrání. Akorát je to nesmysl, všichni ostatní pro tohle používají souborová práva. Nevím, co je tak složitého nastavit práva pro vlastníka nebo skupinu na zápis a pro ostatní na čtení – find a chmod to určitě zvládnou.

[zulu]

Ne každému. Vlastníkovi, skupině a ostatním. To ti určitě stačí.

[Max]

Pokud to nechceš řešit na bázi klasických práv, tak co ACL? A nebo bych zkusil toto, zda to půjde :

<files .htaccess>
  order deny,allow
  deny from all
</files>

Osobně jsem to nezkoušel, tak nevím, zda ho to před php ochrání.
Zdar Max

[B0biN]

Tohle mi nezaručí read only na htaccess :(

[Max]

No jasně, to zakáže přístup k .htaccess. Otázkou je, zda to funguje i pro php. Pak by totiž mohly fungovat directivy jako <limi>, resp. <LimitExcept> a zkusit to ošetřit přes ně.
Zdar Max

[Max]

Ale to je blbost :-/.
Zdar Max

[Chytrex]

Mělo by to platit i pro PHP..

[zulu]

PHP nepřistupuje k souborům přes Apache, takže konfig Apache asi neovlivní PHP..

[Ivo]

Nejde to pomocou linuxovych prav?

sudo chown root:apache .htaccess
sudo chmod 744 .htaccess

Okrem toho vsetko z .htaccess sa da zapisat priamo do konfigu apache tak ze ziaden .htaccess nie je potrebny.

[B0biN]

Jak jsem již psal nejde mi o klasické nastavení souborových práv, musí to být komplexní na celý mashosting prostě nějak říci apache nebo php aby bral htaccess jen jako read only.

[Chytrex]

A k čemu tam bude readonly .htaccess?? Dyť to postrádá smysl.. To narvi do confu apache a nemusíš se otravovat s právy .htaccessu

[Filip Jirsák]

K tomu právě slouží souborová práva. Nastavit to pomocí souborových práv jde, máte tady v komentářích několik příkladů. To, že vy to mermomocí chcete dělat nějakou podivnou nestandardní cestou, je jen váš problém. Až si ho vyřešíte, přečtěte si komentáře ještě jednou a nastavte to pomocí souborových práv.

[B0biN]

Dobře zkusím to tedy popsat co nejpřesněji.

Mám mashosting s několika virtuálními uživateli, kteří mají své home adresáře určené pro hosting.

/usr/virtual/webs/user1
                 /user2
                 /user3
                 /atd. 

V rootu těchto adresářích se vyskytuji soubory .htaccess dejme tomu s právy

-rw-rw-r-- 1 user1 user1 4206 2010-04-23 07:14 .htaccess

Tak a jde mi o to, že pokud mají třeba user1 až user3 vypnutý open_basedir a potencionální útočník využije nějakou bezpečností díru třeba v joomle, wordpresu ..atd. tak muže pomocí php zapsat všem třem něco do .htaccess.

Proto jsem chtěl eliminovat pomocí apache zápisu do souboru htaccess a zápis by se pak prováděl např, jen přes FTP na základě klasických souborových práv. Něco podobného jako má např. ProFTPd "Limit", pomocí kterého řeknu, že určitý soubor po uploadu bude read only.

Snad jsi mě pochopil, čeho chci dosáhnout.

[Filip Jirsák]

Pokud útočník využije bezpečnostní díru ve webové aplikaci, bude mít práva uživatele, pod kterým běží ta webová aplikace. Předpokládám, že to není user1 ani člen skupiny user1. Takže může daný soubor jen číst. (Pokud by web běžel pod uživatelem user1 nebo pod členem skupiny user1, bude přepsaný .htaccess tím nejmenším problémem.)

[sidik]

A co takhle zakázat vypnutí open_basedir? :)

Kromě toho, jestliže user1 je jiný fyzický uživatel než user2 (podle té ukázky práv to tak vypadá) a každý žije ve své vlastní skupině, tak o nic nejde. Dostanou RO přístup a to je tak všechno. Problém to je v momentě, kdy user1 a user2 jsou ve stejné skupině nebo nedejbože jeden uživatel (třeba www-data).

Navíc se dá odepřít i ten RO a nechat přístup jen uživateli a skupině.

[Filip Jirsák]

Navíc se dá odepřít i ten RO a nechat přístup jen uživateli a skupině.

Pak si to ovšem nepřečte ani Apache. Pokud tedy není uživatelem user1 či členem skupiny user1 – ale to bych nepovažoval za dobrý nápad, a jak už jsem psal, nějaký přepis .htaccess by v takovém případě byl prkotina.

[Erbureth]

Nejsystémovější řešení mi přijde využití mpm-itk, které umožní každé webové prezentaci běžet pod vlastním uživatelem. Pak, když útočník převezme kontrolu nad webovou prezentací jednoho uživatele, nikam dál se z ní nedostane.