[php] Re: Kunden Hosting - Sicherheitsproblem?

[Markus Keller OrcaSoft]

Hallo Daniel, Jörg


>> Ich stelle Kunden auf dem selben Rechner virtuelle Webserver (Apache mit
PHP
>> 4) zur Verfügung. Dieser läuft als nobody oder wwwrun. Das tut hier aber
auch
>> nicht viel zur Sache. Für mich sieht die Sache dann so aus, dass Kunde A
dem
>> Kunden B Dateien, die mit PHP angelegt wurden, überschreiben kann.
>
>> </daniel>
>
>Hmm, die User und Group Zuweisung kann man auch in einer
>Virtualhostanweisung setzten ( siehe Manual). Evtl. ist es so moeglich
>fuer jeden deiner Kunden einen eigen Account anzulegen und ueber eine
>entsprechende angepasste UMask die nur Schreib- und Leserechte fuer den
>User setzt, den Zugriff auf andere Kundendaten zu unterbinden.


Das hab ich schon versucht. Wenn PHP mit Apache kompiliert wurde, läuft PHP
immer als Apache-User. User und Group in der Virtualhostanweisung werden
ignoriert. Ich frage mich nur, wie Kunde A Daten vom Kunden B überschreiben
kann, wenn beide ein eigenes Server-Root Verzeichnis haben und nicht darüber
hinaus kommen. Sie sollten die Daten des anderen nicht einmal sehen können.

Gruss

Markus