Wann safe_mode und/oder suPHP nutzen??

[mr_fish]

Ich nutze Apache 2 mit mod_php, safe_mode off und base_directory auf das Home-Verzeichnis des jeweiligen Benutzers.

Ist das nicht schon "sicher genug"? Damit ist ausgeschlossen, dass ein Nutzer an andere als die Dateien in seinem Home-Verzeichnis heran kann. Klingt doch sehr gut: soweit sich alles nur im base_directory abspielt, soll der User doch mit PHP machen, was er meint ...

Was bewirkt dann der Safe-Mode, der dafür sorgt, "dass ein Skript nur auf die Dateien zugreifen darf, die dem gleichen Benutzer gehöhren, dem auch das PHP-Skript gehört." (Zitat 1&1 FAQ), außer das der Benutzer seine selbstgeschriebenen Files nicht mehr lesen kann?

Welche Vorteile in Punkto Sicherheit würde darüber hinaus / oder im Vergleich zum safe_mode denn suPHP bringen (läuft IMHO ohnhin nur mit PHP als CGI zusammen)?

<newby>
Oder bringe ich hier jetzt einiges durcheinander?
</newby> ;-)

Grüße
Fish

[majortermi]

Ich nutze Apache 2 mit mod_php, safe_mode off und base_directory auf das Home-Verzeichnis des jeweiligen Benutzers.

Ist das nicht schon "sicher genug"?

Nein, der Benutzer kann z.B. ganz leich per PHP ein Shell-Skript in seinem Verzeichnis anlegen und dieses dann per system() aufrufen. Und schon hat er eine uneingeschränkte Shell mit Webserver-Rechten.

[mr_fish]

Mhh.. das ist natürlich nicht so toll :?

Also PHP lieber als CGI laufen lassen. Gut. Dann kann ich mir aber suPHP eingentlich sparen, das braucht man IMHO ja nur, wenn man PHP-Skripte mit root- oder sonstwelchen Rechten laufen lassen will. Für den normalen Alltag eines Users eines VirtualHost ist das dann ja nicht nötig (bitte korrigiert mich, wenns nicht stimmt) Mir gehts ja lediglich um das abschotten der Dateien der User, das sollte bei PHP als CGI ja klappen.

[Outlaw]

Sollte ein safe_mode on nicht schon einiges sicherer machen ??

Gruß Outi

[mr_fish]

ja schon, aber mit safe_mode on kann der Benutzer aber keine Dateien anlegen und wieder lesen... (siehe diverse threads hier, oder z.B. http://faq.1und1.de/server/root_server/daemons/3.html )

Ich frage mich allerdings welchen Vorteil suPHP gegenüber dem normalen PHP als CGI noch bringt...

[antondollmaier]

mit suphp kann man auf $HTTP_AUTH_USER / PW zugreifen ... ;)


was mich noch interessieren würde: warum geht der turck mmcache nur, wenn php als modul geladen ist?? und nicht mit suphp / cgi-version?

stand zumindest im turck-thread, habs noch nicht getestet ...

[majortermi]

[quote="Mr_Fish"Ich frage mich allerdings welchen Vorteil suPHP gegenüber dem normalen PHP als CGI noch bringt...[/quote]
Es reicht PHP einmal zentral zu installieren, man braucht keine PHP-Executable im cgi-bin jedes Benutzers. So wird übrigens auch eine Umgehung von Zugriffsbeschränkungen verhindert, selbst wenn PHP ohne die entsprechenden Optionen kompiliert wurde.