Sécurité de la modification des permissions du fichier sur le serveur

J'ai un fichier PHP qui édite un fichier XML, à la fois sur le même serveur web. J'ai donc besoin de chmod 666 le fichier XML. Cependant j'ai vu quelques avertissements à propos de ceci étant un risque de sécurité dû aux autorisations d'écriture accordées. Je me soucie seulement de savoir si les utilisateurs distants peuvent éditer mon fichier XML. Ai-je raison de penser que ce n'est pas possible sans être local?Sécurité de la modification des permissions du fichier sur le serveur

Source

2010-11-10 akd5446

Vous pouvez définir un groupe et définir une autorisation de groupe pour le fichier et attribuer à ce fichier l'autorisation de groupe, et tous les utilisateurs de ce groupe peuvent modifier ce fichier. De cette façon, seuls les membres du groupe peuvent éditer et pas tous les gens publics.

Source

2010-11-10 16:36:44 prolink007

Le problème est, je (pense que je) ai besoin d'autoriser apache pour modifier XML, qui aurait besoin de chmod pour permettre toutes les permissions d'écriture. – akd5446

L'idée est d'avoir l'utilisateur qui exécute Apache, ou PHP d'ailleurs dans le même groupe que votre utilisateur FTP. – phant0m

Je ne suis pas sûr, mais n'y at-il pas un moyen d'ajouter apache à ce groupe aussi? Je pensais qu'il y avait, si je trouve le temps (actuellement au travail), je vais google un peu et tester. Cependant, je crois que vous pouvez ajouter apache aux groupes. – prolink007

Qui crée le fichier XML en premier lieu? Si vous le créez directement via PHP, vous n'avez pas besoin de définir de telles autorisations.

Si vous utilisez un hébergement partagé, d'autres utilisateurs peuvent modifier le code XML, en fonction de la configuration du serveur.

Le risque de sécurité dépend de ce que vous faites des données, les évaluez-vous, appelez-vous des fonctions en fonction du contenu dans le fichier XML? Est-ce que vous venez de sortir quelque chose sans vous échapper? Stockez-vous des informations sensibles dans le fichier XML?

Je ne suis pas sûr de ce que vous entendez par "utilisateurs distants". Tout autre utilisateur connecté, utilisateur du système de lecture, peut modifier le fichier. Donc, toute personne connectée via SSH ou quelque chose pourrait le changer. Si c'est un serveur virtuel, cependant, c'est différent.

Source

2010-11-10 16:35:17 phant0m

Le XML est téléchargé manuellement, j'ai une latitude et une longitude, qui si je vide le géo-code et écrire dans le fichier XML (en utilisant PHP). Par remote, je veux dire dis: evil.com/editXML.php lit myHost.com/map.xml serait-il capable de modifier map.xml sans se connecter à mon compte d'hébergement? – akd5446

manuellement comme dans FTP? Si c'est le cas, vous feriez mieux d'utiliser la solution de prolink007. Toutefois, cela ne fonctionne que si vous avez un accès shell et êtes autorisé à modifier les paramètres. Si vous êtes sur un hébergement partagé, il est possible que votre instance PHP soit exécutée avec le même utilisateur que votre FTP ou qu'ils soient dans le même groupe. – phant0m

Ouais FTP, et non je n'ai pas d'accès shell. Comme je suis sur l'hébergement partagé (je pense) serait ces utilisateurs seraient en mesure de modifier le fichier XML? Si oui, y a-t-il un moyen d'arrêter cela, tout en permettant à mon PHP d'avoir des permissions d'écriture? – akd5446

Sécurité de la modification des permissions du fichier sur le serveur

Répondre

Questions connexes