3
« : 23.12.06 - klo:12.52 »
Vastaan tuli ongelma php scriptien kanssa. Käytössä on apache ja php5. Jos jokin käyttäjä pääsee lähettämään servulle php sivun, jonka avulla voi ajaa apachen käyttäjän kautta koneella joitain ohjelmia, niin ongelmia tulee paljon. Esim sivun kautta voi käynnistää ohjelman joka tukkii 80 portin, vaikka vain rootilla on oikeudet käynnistää ohjelmia näin pienissä porteissa. Apache käynnistetään rootin tunnuksilla, ja apachen konffissa on määritelty oma käyttäjä, jota apache käyttää.
Tälläisellä php sivulla voi myös selata kaikkia kansioita, joihin netistä pääsee, vaikka oikeudet olisivat vallan poistettuina niin siihen kansioon pääsee tämän sivun avulla. Tälläisellä sivulla voi muuttaa myös minkä tahansa tiedoston chmodia, nimeä, poistaa ja lisätä tiedostoja. Käyttäjien nettikansion chmodi on 755. Tähän ei auta php funktioiden disabloiminenkaan, tai sitten olen koittanut vääriä funktioita.
Mitä pitäisi tehdä, jotta tälläisellä php-sivulla käyttäjä, voisi sotkea vain oman kansiosta, eikä kaikkia koneella olevia kansioita, jotka näkyvät internetissä?
Debianissa tätä ongelmaa ei ole, vaikka kaikki on samalla tavalla tehty. Ja noi funktioiden disabloimiset eivät auta.