User können Root-Daten löschen? *g*

[dag]

Hi,
ich hab gerade gemerkt das ein normaler FTP User,
in seinem web, Daten löschen kann, die dem User root
gehören. (Daten von root sind gewollt drin).

Wieso kann der User es per FTP löschen?
Was kann man dagegen machen bzw. muss ich
was beim ftp daemon (wuFTP) ändern?


Danke :-D
Dag

[kase]

normalerweise kommt da 100 % ein Permission denied, da der FTP Daemon immer unter diesem User läuft, der sich gerade eingeloggt hat. Oder haste vielleicht den FTP Daemon generell unter Root laufen, dann könnte das natürlich sein.

[dag]

WuFTP läuft als root!

[oxygen]

Wenn die Datei die Rechte 777 hat, kann sie natürlich jeder löschen, auch wenn sie root gehört. Wenn du das verhindern willst, solltest du das Verzeichnis sticky (+s) setzten.

[dag]

Ist mir klar.
Selbst bei chmod 700 hat der User keine Probleme mit dem löschen...

[kase]

naja, der Daemon läuft als Root, und Root hat nun mal ALLE Rechte...

Vielleicht haste irgendwo ne Option vergessen, die beim Einloggen eines Users ein "Child" erstellt, unter dem User, der sich eingeloggt hat...

[captaincrunch]

Wer den wu-ftpd einsetzt ist sowieso selber Schuld ...

[dag]

Vielleicht haste irgendwo ne Option vergessen, die beim Einloggen eines Users ein "Child" erstellt, unter dem User, der sich eingeloggt hat...

Das sagt mir jetzt nicht soviel.

Wenn die Daten zum User/Gruppe des Apaches gehören,
kann es nicht gelöscht werden! Scheinbar kann nur
gelöscht werden was dem User selbst und root gehört :?

@ CaptainCrunch,
bin bei S4f, dort ist er von Anfang an drauf :x wollte mir die
Mühe nicht machen um auf ProFTP umzusteigen.

[captaincrunch]

bin bei S4f, dort ist er von Anfang an drauf icon_mad.gif wollte mir die
Mühe nicht machen um auf ProFTP umzusteigen.

Ist ja OK ... aber wenn deine Kiste mal gecrackt wurde, fang beim Suchen zuerst bei den wuftpd-Logs an ...

[dag]

Ist ja OK ... aber wenn deine Kiste mal gecrackt wurde, fang beim Suchen zuerst bei den wuftpd-Logs an ...

Kommen wir doch zum Thema zurück, WuFTP gefällt mir auch nicht.
Mit ProFTP hab ich längere und mehr Erfahrung aber die Umstellung
kommt zumindest zur Zeit nicht in Frage. :roll:

Edit: Ich will eigentlich nur das Problem lösen :)

[kase]

Ich denke mal, dass du das Problem am besten löst, wenn du auf proftpd umsteigst.

Wenn du Debian hast, reicht ein einziger Befehl und 2 Ã?nderungen in der conf, bei Suse wirds etwas mehr Arbeit sein, kenn mich aber auch nicht aus, damit (Suse)...

[dag]

Hab SuSe Linux 7.2 mit WuFTP und Debian 3 mit ProFTP. Kenn daher
beides aber eine Umstellung kommt zur Zeit nicht in Frage.
Gibts noch Ideen?

[buddha]

also ich hab meinen s4f auf proftpd umgestellt find den wuftpd nicht sehr toll außerdem kann ich somit auch leichter eigene php scripte bauen um ftp user über mysql laufen zu lassen :-)

[dag]

Jetzt hört mal auf hier zu spammen
ich brauch eine Lösung ... für WuFTP aber *g* :-D

[tobias111]

hey, ich hab das jetzt mal auf dem supergeilen, supersicheren, super-wasweißichnichtwas vsftpd ausprobiert, den ich seit neuestem drauf habe

als root per ssh im userverzeichnis touch loesch.mich und chmod 700 gemacht. der user kanns trotzdem löschen. identisch zu deinem problem also, dag.

was soll denn der scheiß? wenn die verzeichnisrechte auf 700 stehen, dann hat sich dieser scheiß ftp-daemon dran zu halten. wo sind wird denn

to

[tobias111]

in der /etc/vsftpd.conf gibt's das:

# It is recommended that you define on your system a unique user which the
# ftp server can use as a totally isolated and unprivileged user.
#nopriv_user=ftpsecure

ohne jetzt auf dem system rumspielen zu wollen, welche rechte sollte denn der user haben, in welchen gruppen sollte der user sein, damit das auch läuft? ich meine, ist /bin/false z.b. ok?

danke to

[[tom]]

Leg mal ne Datei per FTP an. Dann siehste ja, unter welchem User Du per FTP zugreifst.

[TOM]