Ensinnäkin kiitokset Laaksosen Antille hienosta PHP-oppaasta, junamatka meni sen kanssa rattoisasti.
Tiedän että tätä on varmaan kysytty sen miljoona kertaa, mutta en kyennyt löytämään selvää vastausta FAQeista tai aikaisemmista keskusteluista (voi olla että vain missasin sen)
Haluaisin käsitellä palvelimella olevaa txt-tiedostoa php:stä niin, että voin lukea ja kirjoittaa siihen php:n kautta. Kuitenkaan kukaan ei saisi pystyä sitä lukemaan esim. nettiselaimen kautta. Olen yrittänyt asettaa txt-filulle sopivia oikeuksia, mutta aina kun löydän asetukset joilla php:llä voisin sitä lukea/kirjoittaa niin sitten pystyn myös näkemään tiedoston sisällön selaimen kautta. Haluaisin että käyttäjän selaimesta käynnistämä php-skripti pystyisi tiedostoa käyttämään, mutta kukaan muu ei (paitsi minä itse ftp:n kautta)
Mitkä oikeudet pitäisi antaa?
Mieleeni tuli hätäratkaisu, että php-skriptissä vaihdan tiedoston oikeuksia lukemisen/kirjoittamisen ajaksi ja sitten palautan ne taas tiukemmiksi. Onko parempaa tapaa?
Kiitos jo etukäteen kaikille php-guruille.
Laita tuo tiedosto hakemistoon, joka ei näy veppiin laisinkaan tai jos sellaista ei ole, niin hakemistoon, joka on suojattu .htaccessilla.
Kiitos Blaze, tuo auttoi!
Jos on mahdollista säätää palvelinta suosittelisin sen php:n säätämistä siten, että se ajaa php-skriptit aina omistajan oikeuksilla. Näin tiedostojen ja hakemistojen oikeudet voi määrittää siten, että pelkästään sinulla itsellä on niitä oikeus lukea, kirjoittaa ja käyttää. Näin ollen eivät myöskään muut palvelimella majaansa pitävät käyttäjät pysty kurkkimaan esim. salasanojasi.
ajv kirjoitti:
Jos on mahdollista säätää palvelinta suosittelisin sen php:n säätämistä siten, että se ajaa php-skriptit aina omistajan oikeuksilla.
Eli vaikka safe_mode päälle :)
Miten tämmöinen "safe_mode" tietoturvallisuus systeemi käytännösä toimii? Itse olen kokeillut tuota .htaccess -systeemiä ja olen pohtinut sen tietoturvallisuusseikkoja? Viisaammilta neuvoja?
Kyllä tuo .htaccess suojaa ihan hyvin käsittääkseni netin kautta tulevilta h4x0r-yrityksiltä. Mutta sitten jos samalla servulla on jotain ilkeämielisiä, niiden h4x0r-yrityksiä se ei suojaa ollenkaan. Safe_mode käsittääkseni estää sitten tätä puolta paremmin, jollon esim. <?php show_source("/home/naapuri/mysql-passut.php") ?> ei pitäisi toimia. Toisaalta, jos safe_moden vääntää päälle, menettää muutamia mukavia php:n funktioita, jolloin esim. hakemistojen tekeminen ja tiedostojen upload estyy. Korjatkaa, jos puhun ihan puuteheinää, sillä en ole ollut safe_moden kanssa tekemisissä kuin kerran. Ja sen kerran kun jouduin olemaan, onnistuin sen kiertämään.
Tiedostojen upload ei esty safe_moden ollessa päällä.
Hakemistojenkin luonti onnistuu, muttei niihin voi luoda filuja joilla olisi tarvittavat CHMOD oikeudet (eli täysin turhaa luoda hakemistoja tuolloin) :(
T.M. kirjoitti:
Tiedostojen upload ei esty safe_moden ollessa päällä.
Eikö? Itsellä ei tosiaan ole kokemuksia safe_modesta kuin juuri tuon verran, että koulun serverillä se heitettiin päälle ja sen jälkeen tiedostojen upload php:llä ei enää onnannut. Ja näin kertoo myös manuaali funktion move_uploaded_file() kohdalla. Pystyykö tuon sitten kiertämään jotenkin, sitä en tiedä.
No mbnetissä on käsittääkseni safe_mode päällä (ainakin scriptien errorit kertovat näin), ja pystyn upittaa filuja.
En sitten tiedä onko niillä jotain erilaisia asetuksia päällä...
Mbnetissä on omat asetuksensa, ainakin tietääkseni. Äkkiähän tuon testaa...
No tuntuu toimivan ainakin omalla koneella upload safe_modessa. Tiedä sitten mitä siellä koululla oli säädetty.
No kertokaa nyt ihmeessä, miten tuo safe_mode laitetaan päälle. Koodissako jotenkin? Pääsisin minääkin kokeilemaan. :-)
Jos sinulla on oikeus muokata php.ini-tiedostoa, löydät sieltä tuon safe_mode kohdan ja laitat sen arvoksi 'On'.
Aihe on jo aika vanha, joten et voi enää vastata siihen.