[php] OT ct Artikel Unsichere Webhoster

[Daniel Lorch]

hi,

> CGI-PHP ueber einen Wrapper wie suexec oder sbox. Da kann man dann jedem
> eine UserID und Group verpassen.
> Oder sich halt intensiv mit Apache2 und seinen neuen Prozessmodellen
> beschaeftigen. Wenn man damit fertig ist gibts evtl. auch nen PHP dafuer.

Hast Du es schon mit SuEXEC gemacht? So, dass es auch transparent dem User
gegenüber läuft (sprich: ohne shebang und u+x)? Ich habe es bisher nur mit
cgiwrap+php-patch hinbekommen.

Apache2 wär die Lösung in dieser Hinsicht.

Einige sehen hier aber auch wieder Probleme: mod_php soll *sicherer* sein,
weil es dem Home-Verzeichnis einen "Schreibschutz" verleiht. Mögliche
Exploits im PHP-Code (siehe Buffer-Overflow beim Upload) könnten also nicht
zur Kompromittierung der User-Daten führen. Es wird empfohlen User-Generierte
Daten grundsätzlich in der Datenbank abzuspeichern (meinetwegen halt BLOBs
für Uploads..).

Find ich aber doof.

-daniel