Это безопасно для Предоставления Пользовательского Владения Apache Каталогов и Файлов для Wordpress
На мой взгляд, можно ли считать это безопасным (небезопасным), во многом зависит от ваш вариант использования, ваши пользователи и ваша среда. Позвольте мне сказать это так: Если вы планируете предоставлять веб-хостинг для платных клиентов и не находитесь в закрытой инфраструктуре или за невероятно сложным WAF или IPS , вы, вероятно, сочтете это небезопасным. Здесь я имею в виду не только каталоги с возможностью записи, но и использование mod_php, что вы, кажется, делаете. Опять же, если вы просто настраиваете небольшой веб-хостинг для своих друзей и семьи, ожидаете около десяти посещений в неделю и у вас действительно нет времени, с вами, вероятно, все будет в порядке (однако я бы порекомендовал использовать некоторый доступный общий хостинг, в этом случае
Более безопасные альтернативы запускают выполнение PHP каждым пользователем под его собственными правами. Наиболее распространенными примерами могут быть:
- suPHP , который довольно безопасен, но медленный, как обычная почта.
- Apache + MPM ITK , который довольно прост в настройке, но не так широко протестирован (в отличие от MPM Worker или MPM Prefork ). Лично я бы не использовал это в производственной среде.
- Среда FastCGI + PHP, либо с mod_fastcgi , либо mod_fcgid .
В зависимости от ваших пользователей / среды /. .., я бы рекомендовал заблокировать ваш ящик. В сценарии FastCGI вы должны использовать chroot и можете дополнительно укрепить вашу систему с помощью улучшений безопасности Linux (например, 1 , 2 , 3 ).
Но один раз. еще раз: вы действительно можете потратить на это много времени. Подумайте об использовании совместно используемой среды от хорошего хостера, который сделает это за вас, прежде чем выставлять небезопасный ящик на волю.
В зависимости от ваших пользователей / среды / ..., я бы рекомендовал заблокировать ваш ящик. В сценарии FastCGI вы должны использовать chroot и можете дополнительно укрепить свою систему с помощью улучшений безопасности Linux (например, 1 , 2 , 3 ).
Но один раз. еще раз: вы действительно можете потратить на это много времени. Подумайте об использовании совместно используемой среды от хорошего хостера, который сделает это за вас, прежде чем выставлять небезопасный ящик на волю.
В зависимости от ваших пользователей / среды / ..., я бы рекомендовал заблокировать ваш ящик. В сценарии FastCGI вы должны использовать chroot и можете дополнительно укрепить свою систему с помощью улучшений безопасности Linux (например, 1 , 2 , 3 ).
Но один раз. еще раз: вы действительно можете потратить на это много времени. Подумайте об использовании совместно используемой среды от хорошего хостера, который сделает это за вас, прежде чем выставлять небезопасный ящик на волю.
В сценарии FastCGI вы должны использовать chroot и можете дополнительно укрепить вашу систему с помощью улучшений безопасности Linux (например, 1 , 2 , 3 ).Но один раз. еще раз: вы действительно можете потратить на это много времени. Подумайте об использовании совместно используемой среды от хорошего хостера, который сделает это за вас, прежде чем выставлять небезопасный ящик на волю.
В сценарии FastCGI вы должны использовать chroot и можете дополнительно укрепить вашу систему с помощью улучшений безопасности Linux (например, 1 , 2 , 3 ).Но один раз. еще раз: вы действительно можете потратить на это много времени. Подумайте об использовании совместно используемой среды от хорошего хостера, который сделает это за вас, прежде чем выставлять небезопасный ящик на волю.
Я почти уверен, что уже отвечал на этот вопрос раньше, но я не могу найти вопрос, на который можно ссылаться.
Вы не должны спрашивать, безопасно ли, если вы сделаете nnn. Безопасность никогда не бывает двоичной величиной, и вам почти всегда необходимо проводить более подробный анализ. Вопрос, который вам следует задать, заключается в том, чтобы сделать nnn более или менее безопасным, чем альтернатива.
Да, изменение владельца файлов, чтобы Apache мог писать в них, увеличивает вероятность проблем, но это просто не единственный фактор.
1268]. Гораздо большее беспокойство вызывает, если вы не измените владельца, захотите ли вы приложить усилия, чтобы веб-приложение обновлялось и исправлялось. Если у вас нет инструментов или возможности поддерживать его в актуальном состоянии и исправлять с помощью только интерфейса командной строки, то это потенциально гораздо более серьезная проблема безопасности, тогда проблемы, которые могут возникнуть в результате более разрешительных разрешений файловой системы.
У меня нет ссылки / ссылки, но я думаю, что где-то читал, что многие вещи скомпрометированы, потому что исправления для известных уязвимостей не применяются в своевременно. OTOH, слабые разрешения файловой системы обычно вступают в игру только в результате ошибки / проблемы в веб-приложении.
В идеале, если у вас есть требование чрезвычайно сильной параноидальной безопасности, у вас были бы чрезвычайно заблокированы разрешения, а приложения были бы очень загружены - на сегодняшний день, но если бы мне пришлось выбрать один, я бы обычно старался установить все исправления.
Вы, конечно, должны принять решение, основанное на потенциальных рисках, и реалистичное понимание того, как вы будете это делать. обновлять и поддерживать систему.
но мне кажется, я где-то читал, что многие вещи скомпрометированы, потому что исправления для известных уязвимостей не применяются своевременно. OTOH, слабые разрешения файловой системы обычно вступают в игру только в результате ошибки / проблемы в веб-приложении.В идеале, если у вас есть требование чрезвычайно сильной параноидальной безопасности, у вас были бы чрезвычайно заблокированы разрешения, а приложения были бы очень загружены - на сегодняшний день, но если бы мне пришлось выбрать один, я бы обычно старался установить все исправления.
Вы, конечно, должны принять решение, основанное на потенциальных рисках и реалистичное понимание того, как вы будете обновлять и поддерживать систему.
но я думаю, что где-то читал, что многие вещи скомпрометированы, потому что исправления для известных уязвимостей не применяются своевременно. OTOH, слабые права доступа к файловой системе обычно вступают в игру только в результате ошибки / проблемы в веб-приложении.В идеале, если у вас есть требование чрезвычайно сильной параноидальной безопасности, у вас были бы чрезвычайно заблокированы разрешения, а приложения были бы очень активными. - на сегодняшний день, но если бы мне пришлось выбрать один, я бы обычно старался установить все исправления.
Вы, конечно, должны принять решение, основанное на потенциальных рисках, и реалистичное понимание того, как вы будете это делать. обновлять и поддерживать систему.
Поскольку вы настраиваете работу под mod_php. Вы должны запускать пользователя с помощью cron каждые 1 минуту.
Однако вы должны настроить запуск под suphp для решения вашей проблемы
РЕДАКТИРОВАТЬ: удалено решение, которое все называют "плохим".
Оставив это на месте, которое все предпочли игнорировать, потому что они не могли прочитать после первых пяти строк:
Вот альтернатива, с которой я сейчас экспериментирую:
$ chown someuser:other-users somefolder
$ chmod 770 somefolder
Это дает владельцу (someuser) и всем членам группы other-users (тому, кому «someuser» решает дать разрешения) разрешения на чтение / запись / выполнение. Выполните chmod 660 для файлов.