Dotaz: Lze vypsat obsah passwd souboru pomoci php prikazu.

[Doktor]

Rad bych se zeptal jak aby mel mit soubor /etc/passwd prava, protoze jej u mne lze prohlizet zvenci pomoci:

<?
highlight_file(__FILE__);
echo file_get_contents('/etc/passwd');
?>

Soubor ma prava 644 to znamena "read by others". Jak tomuto zabranim?

Odpovědi

[Michal Čihař]

To je naprosto normální stav, co ti na tom vadí?

[Michal Kubeček]

1. Soubor /etc/passwd musí být world readable.

2. Pokud nejste schopen věřit vlastním uživatelům, do systému je nepouštějte.

3. Pokud používáte shadow passwords (stejně jako každá distribuce, která vznikla asi tak v posledních osmi letech), není v souboru /etc/passwd nic, co by stálo za utajení. To jen každou chvíli nějaký "objevitel" cítí potřebu ukazovat národu, jak snadno se lze dostat k citlivým informacím - jenže ony tam žádné nejsou.

[......]

číst by ho měl přeci každý...až /etc/shadow může číst jen root ne?

[Michal Kubeček]

Ne nutně jen root. Třeba u mne je to takhle:

  -rw-r-----  1 root shadow 1077 2005-09-13 02:32 /etc/shadow

Je to proto, aby programy, které potřebují ověřovat heslo, nemusely být SUID na roota, ale stačilo SGID na shadow:

  -rwxr-sr-x  1 root shadow 11776 2005-03-20 02:36 /usr/bin/vlock

[......]

no nechtěl jsem to rozebírat podrobně....uživatele mám root, skupinu shadow jako to píšeš ty.

[fakenickname]

Navíc když zakážete čtení tohoto souboru uživatelům, zakážete jim tím tak i přihlašování.. (myslím)

[Michal Kubeček]

Samotné přihlašování asi přímo ne, ale třeba překlad mezi UID a jmény, zjištění domácího adresáře apod.

[Michal Čihař]

Přihlašování je pod rootem (stejně se musí ověřit heslo z shadow), takže to fungovat bude, ale třeba nebudou vědět, kde mají home .

[tomas84]

Konfigurační direktivy PHP safe_mode nebo open_basedir. Viz dokumentace.