Frage zur NTFS Berechtigung auf XAMPP Verzeichnis

[HassanMullah]

Hallo zusammen,

ich möchte gerne folgendes machen.

Auf einem Windows 2003 R2 Server ein XAMPP installieren. MySQL und Apache als Dienst laufen lassen. Zugriff auf Apache erfolgt via DSL Router, d.h. Portforwardding auf Port 80, eventuell 443.

Jetzt würde ich gerne einen Benutzer XAMPP anlegen. Diese hat NUR (???) Berechtigung auf das XAMPP Verzeichnis, und die darunter liegenden Verzeichisse. Die Dienste werden ebenfalls unter dem Account von XAMPP gestartet. Sonst hat XAMPP keine Berechtigung auf dem Windows 2003 Server.

Die Idee ist halt die, das wenn eine rumhackt, maximal auf dem XAMPP was machen kann. Diesen kann ich ja locker wegsichern, womit ich dann keine Bauchschmerzen habe.

Der Hacker sollte aber rein über die Berechtigung nicht auf den Rest kommen.

Die Frage ist nur, welche Berechtigungen der Benutzer XAMPP auf dem NTFS Filesystem braucht. Braucht der Vollzugriff überall, oder reicht Ändern, oder .... was auch immer

Gruss Hassan

[Scory]

Die Berechtigungen im Betriebssystem bzw. Filesystem (hier: NTFS) haben nicht das allergeringste mit den Berechtigungen zu tun, die via HTTP von Apache verwaltet werden.

Insofern sind Deine Vorstellungen ziemlich "wirr" und haben mit der Server-Realität leider nichts gemeinsam.

Vielleicht solltest Du erst einmal die Dokumentation über Apache, insbesondere über das Rechtesystem in Apache lesen. Die funktioniert natürlich auf einer anderen Ebene als auf Betriebssystemebene, denn sie soll ja auf den verschiedenen Systemen (Linux, Mac OSx, Windows) identisch zu konfigurieren sein.

[HassanMullah]

Die Berechtigungen im Betriebssystem bzw. Filesystem (hier: NTFS) haben nicht das allergeringste mit den Berechtigungen zu tun, die via HTTP von Apache verwaltet werden.

Insofern sind Deine Vorstellungen ziemlich "wirr" und haben mit der Server-Realität leider nichts gemeinsam.

Hallo Scory,

vielleicht habe ich mich falsch ausgedrückt. Es ging mir darum, falls einer mal ein Lücke im Apache findet, und ich diese auf Grund fehlender Kenntnisse zu spät schließe, möchte ich eine "zusätzliche" Möglichkeit haben, da der Angreifer nicht über den Apache auf das eigentliche Betriebssystem zugreifen kann. Und wenn der Dienst nur mit dem Account läuft, um den Apache und den MySQL zu starten, aber dieser Account sonst keinerlei Berechtigung auf dem Betriebssystem hat, ist meine Vorstellung nicht so "wirr", wie Du dies hier niederlegst.

Gruss Hassan