[php] safe_mode Frage

[Helmut P. Fleischhauer]

Andreas Heigl wrote:
> Ulf Angermann schrieb:

> Dein Script läuft mit UID 807 ( die ID des FTP-Users? ) und das Verzeichnis
> in das du schreiben willst ist mit der UID des Web-Servers angelegt worden (
> mkdir nutzt die ID des 'Skriptausführenden' als Owner.
> 
> Das Problem hatte ich kürzlich auch mal. Wir haben es gelöst, indem wir
> safe_mode in den etwas unsichereren Gruppen-Modus umgestellt haben.

> Wie das genau geht? Keine Ahnung. Hat mein WebServer-Admin gemacht.

********
Hallo,
es wird eine Gruppe mit niedrigen Rechten angelegt und user und
webserver werden dieser Gruppe zusätzlich zugeordnet.
Dann wird aud safe_mode_gid umgestellt.

safe_mode ist eine etwas trügerische Sicherheit.

open_basedir sollte in jedem Fall aktiv sein

Ein interessanter Artikel über php Sicherheit steht im
LINUX Magazin Sonderheft 2/2005

Noch ein Hinweis: Es sind 2 Hacker Scripte im Umlauf, die über upload
Funktionen eingeschleust werden und fehlende open_basedir Restriktionen
ausnutzen.

Dateinnamen: pay.php, property.php oder so ähnlich

Seiten mit Bildergalerien dürften bevorzugte Angriffsseiten sein.

Gruesse

Helmut P. Fleischhauer