Dotaz: www-data ma nejak podezrele velka prava

[Oleg]

Dobry vecer, mam debiana sarge a apache2-ssl, kde apache bezi pod userem www-data. CHtel jsem se zeptat- nezda se vam, ze kdyz v php udelam

system('more /etc/passwd ');

a apache mi vrati obsah passwd,nema ten user www-data nejak moc velke prava<<< Diky za nazory Oleg

Odpovědi

[Michal Marek (twofish)]

Zrovna /etc/passwd je první příklad v manuálu k safe mode v php

Jinak /etc/passwd je čitelný pro všechny, tak proč ne pro www-data

[Oleg]

Safe mod mam OFF, ale tak treba muzu s apache-www-data udelat toto a to neni prece normalni pro usery, nebo jo?

system('more /etc/passwd ');

[Michal Marek (twofish)]

Na běžném systému si každý uživatel může vypsat /etc/passwd a využívá toho každý druhý program.

[Oleg]

Sorry, preklepl jsem se, mel jsem na mysli, ze jde i

system('ls /root ');

A to je taky normalni?

[VícNežNic]

To už tak normální není. /root s právy na čtení pro každého jsem ještě neviděl a není to snad v žádném základní nastavení. Zrovna v Debianu bych o něčem takovém v základním nastavení pochyboval. Není problém třeba s právy skupin ?

[Tomáš]

Myslím, ze v zrovna v Debianu je /root čitelný:

drwxr-xr-x 22 root root 4096 2004-09-08 12:08 /root

Určitě jsem práva dodatečně nepřidával. Debian Unstable

[Tomáš Hála]

Jak říkají kolegové, /etc/passwd je normálně čitelný pro všechny. Chceš-li zabránit, aby se ti někdo pomocí PHP procházel po celém systému, zapni safe_mode nebo (či spíše ještě k tomu) nastav open_basedir na documentroot.

[VícNežNic]

/etc/passwd si může vypsat kdekdo. Když má pro všechny nastavena práva na čtení, tak se ani není čemu divit. Můžete zkusit ACL nebo to pro ostatní zakázat (ale teď si vůbec nejsem jistý, jestli by to nemělo nějaký nechtěný následek, takže bych to raději nezkoušel, když je to ve vychozím nastavení tak jak je, doplňte mě prosím někdo).

Pak by se ještě dalo to v php určitě nějak zakázat (nejsem expert, ale určitě má nějaký režim, kde to není dovoleno). Proč to tak je, to nevím. Mám velké mezery.