Sicherheit: Zugriff auf Dateien Außerhalb der Serverordner

[meiling]

Hallo,

so, habe beim "rumspielen" folgendes bemerkt:

Ich kann auf Dateien Zugreifen, die Außerhalb meiner Serverordner liegen.

Beispiel:
Dateilesescript liegt unter: C:\srv\htdocs_1\test.php
Kann bspw. Datei lesen: C:\xyz.txt

Habe das ganze mit PHP getestet.

Ich kenne zwar in der php.ini die Option open_basedir, jedoch verwende ich mehrere VHost und habe keine Idee, wie ich das verbinden kann.

Zur Frage:
Hat jemand eine Idee, wie ich verhindern kann, das ein VHost auf die Dateien eines anderen VHost zugreifen kann? Und wie ich verhindern kann, das ein Script aus dem Serververzeichnis auf eine Übergeordnete Ebene zugriff hat?

Hoffe ich konnte das Problem einigermaßen gut erklären (bin heute irgendwie nicht in der richtigen Verfassung )

Danke.......
mm

[Wiedmann]

Eben mit open_basedir.

[meiling]

Hallo,

danke erst einmal...

Ja, somit würde ich das Problem mit dem Zugriff außerhalb der Serververzeichnisse verhindern...

Aber wie kann ich verhindern, das ein VHost (bzw. ein Script darauf) auf die Daten eines anderes zugreifen kann (muss ich wohl irgendwie im Apache machen denke ich...).

mm

[Wiedmann]

bzw. ein Script darauf

Sofern du mit Script "PHP" meinst, hast du ja die Antwort (kann man ja für jeden VHost getrennt einstellen)

Ansonsten und allgemein darfst du sonst keine Apachen uter Windows betreiben.

[meiling]

Sofern du mit Script "PHP" meinst, hast du ja die Antwort (kann man ja für jeden VHost getrennt einstellen)

Habe leider in der Apache Konf. Anleitung nichts dazu gefunden und den Basedir kann man in der PHP Ini nur einmal einstellen (sonst wird der Wert überschrieben)...

Hast du evtl. eine Idee, wie man das machen kann?

Ansonsten und allgemein darfst du sonst keine Apachen uter Windows betreiben

Stimmt... Mache ich auch nicht
Das Problem ist mir nur beim Probieren zufällig unter Windows aufgefallen...
Aber eigentlich müsste das doch unter Linux genau so sein.... Oder?

mm

[Wiedmann]

Habe leider in der Apache Konf. Anleitung nichts dazu gefunden

Schön das mal jemand Dokus liest... In dem Fall die Falsche, da es ja um PHP geht:
http://de.php.net/manual/en/configuration.changes.php

Aber eigentlich müsste das doch unter Linux genau so sein.... Oder?

Unter Linux kennt der Apache die Sicherheitsfunktionen des OSses, und man kann ihn dahingehend konfigurierien (z.B. suExec). Dann hat man dort dieses Problem nicht. (gurndsätzlich und ohne weitere Konfiguration ist es dort natürlich genauso wie unter Windows)

Stimmt... Mache ich auch nicht
Das Problem ist mir nur beim Probieren zufällig unter Windows aufgefallen...

Aber nur mit dem Apachen. Für eine produktive Seite mit mehreren Usern nimmt man natürlich den IIS, der sich hier (wie der Apache unter Linux) sicher konfigurieren lässt.

[meiling]

Erstmal großen Dank an dich....

So jetzt gehts

Für alle die nicht lange überlegen wollen:

Code: Select all

<VirtualHost *:80>
    ServerAdmin sysop@mdlan
    DocumentRoot C:/homes/htdocs_dmi01/
    ServerName lan.dmi01
    php_admin_value open_basedir "C:/homes/htdocs_dmi01/"
</VirtualHost>


Schönes Wochenende noch....
mm