web directories sicher mit 775?

[perler]

hi,

ich stelle meinen webserver (auf dem kundenpraesenzen laufen) nach und nach von ftp auf getunneltes samba um. das hat viele vorteile, aber einen evtl. nachteil - alles was von den usern auf den server geschrieben wird bekommt die selben per smb.conf festegelegten permissions.

damit php scripte etc. laufen habe ich jetzt folgende permissions gesetzt:

alles was auf den server kommt, bekommt als owner username.www-data (www-data ist der user unter dem der webserver laeuft).

alle angelegten directories bekommen als permission 775, alle files die permission 664.

meine frage ist, wie unsicher ist das im verhaeltnis zu den "ueblichen" permissions von sagen wir files sind geownt von username.username und die scripts die schreibrecht brauchen werden schnoede auf 777 gesetzt (was ich bei meinen eigenen sachen nicht mache, aber die normalen user wissens halt nicht besser und folgen den readme's die das propagieren..)

uebrigens, mir is schon klar, dass das sicherste eine jail is, aber das ist aus verchiedenen gruenden auf meinen servern nicht praktikabel..

PAT

[mutombo]

also per script wird schonmal jeder deiner kunden dateien anderer kunden auslesen können,
es sei den du hast da spezielle sicherheitsmechanismen aktiviert.

und samba halte ich für eins der unpraktischsten protokolle übers internet, is zwar schön einfach, aber einfach nur langsam.

btw ein jail würde eben diese probleme auch nicht lösen, das ist einfach alles vom konzept unsicher.

[perler]

also per script wird schonmal jeder deiner kunden dateien anderer kunden auslesen können,
es sei den du hast da spezielle sicherheitsmechanismen aktiviert.

wieso? die kunden sind in groups username.username. da koennen die nix auslesen bei anderen kunden.

ausserdem haben sie per samba nur zugriff auf ihr homedir.

oder meisnt du mit nem script von aussen uebers web? das kann man ja sowieso. macht google jeden tag ;)

und samba halte ich für eins der unpraktischsten protokolle übers internet, is zwar schön einfach, aber einfach nur langsam.

also es ist im real life marginal langsamer (hab grad mal 6 mb per dsl, gemischt kleine und grosse dateien, transferiert und bin bei ftp auf 2:00, bei samba auf 2:15 gekommen). die vorteile wiegen das IMHO aber auf:

a) transparenter zugriff
b) verschluesselter datentransfer
c) login nur mit ssh-key

geht alles auch per sftp, hab ich versucht, aber keiner will's wirklich benutzen, weil z.b. die unterstietzung in dreamweaver und konsorten nicht , oder nur schlecht da ist. das erschlaegt man alles mit samba.

aber worum es eigentlich ging war die sicherheit der permissions, wie beschrieben, gegen angriffe von aussen. also irgendwelche unsicheren PHP-scripts, was passiert in der beschriebenen konfiguration mehr als in der "ueblichen", wo die files group-owned von den usern sind? (ich meine, ich hab schon ne vorstellung was alles passieren kann, aber will mal ein paar gedanken von aussen haben, manchmal is man ja ein bissel blockiert..)

PAT

[mutombo]

mod_php läuft mit rechten des webservers, also auch die scripte.

user a startet nen phpscript, das läuft das als www-data und hat somit zugriff auf alle dateien die die gruppe www-data lesen darf, damit holt er sich die passwörter für z.b. die mysqldatenbank von user b aus den configscripten. wenn du noch ne webconfig wie z.b. confixx oder sowas laufen läßt und die auch unter leserechte für die gruppe www-data haben bist du ziemlich schnell weg vom fenster.

[perler]

mod_php läuft mit rechten des webservers, also auch die scripte.

user a startet nen phpscript, das läuft das als www-data und hat somit zugriff auf alle dateien die die gruppe www-data lesen darf, damit holt er sich die passwörter für z.b. die mysqldatenbank von user b aus den configscripten. wenn du noch ne webconfig wie z.b. confixx oder sowas laufen läßt und die auch unter leserechte für die gruppe www-data haben bist du ziemlich schnell weg vom fenster.

ok, danke, das ist ein szenario an das ich noch nicht gedacht hatte..

da muss ich mir noch ne kopp machen..

PAT