raport bezpieczeństwa - tysiące luk (mss)

[prezes]

Po przeniesieniu serwisu na joomli na amerykański serwer, pliki widoczne w total commander mają normalne uprawnienia - 755 katalogi, 644 pliki. Niestety, co dziwne, nie musiałem nadawać uprawnień 777 do katalogów, gdzie np. wgrywa się obrazki do zdjęć, wchodząc w Panelu Admina w opcję "Konfiguracja witryny" miałem możliwość edycji pliku configuration.php - mimo, że miał on 644 a nie 777 (do tej pory na poprzednim servie, aby coś zmienić w PA w tej opcji musiałem zmieniać na chwilę uprawnienia na 777 dla configuration.php). O co tu chodzi? Najbardziej przeraża mnie to:

http://xs116.xs.to/xs116/07262/usunfdsfnm4gg.jpg

jak widać pliki mają normalne uprawnienia, ale mambo security search (stary komponent do szukania błędów) wyrzucił tysiące błędów - o co chodzi, czy mam się bać o bezpieczeństwo witryny?

[nexus246]

A to przypadkiem nie chodzi na IIS?

[prezes]

masz na myśli pl.wikipedia.org/wiki/IIS?

[nexus246]

Chodzi mi o to czy serwer www na tej maszynie to windowsowy IIS, w takim przypadku możesz dostawać takie komunikaty.

[alco]

To bardzo niebezpieczna usługa, przez nią panoszy sie internet :-).
A tak na serio IIS to po prostu najprosciej tlumaczac serwer www (nie tylko) pracujacy pod windowsem, tak jak pod unixem apache.
Uprawnieniami się nie martw.
644 oznacza prawa czytania i pisania dla wlasciciela (pierwsza cyfra), czytanie dla grupy (druga cyfra) i czytanie dla pozostalych (trzecia cyfra).
To ze nie musisz zmienia na 777 to zaleta i oznacza ze ftp laczy sie z sewerem takim samym uzytkownikiem z jakim laczy sie przegladarka i skrypty php odpalane z przegladarki.
Oznacza to ze jak wgrasz pliki przez ftp i maja one 644 to uzytkonwik ftp moze czytac i pisac taki plik oraz skrypt php z przegladarki moze tez czytac i pisac taki plik (6 na pierwszej pozycji)

Andrzej

[nexus246]

Andrzeju, doczytaj troszeczkę.

[prezes]

Hm. Napisałem do admina serwera z prośbą o info, jaki to jest serwer. Dostałem w zwrotnej wiadomości, że włączyli mi w php.ini (do którego mam dostęp) display errors - tylko po co?:) I czy poprosić, by to znów wyłączyli?
Mniejsza o sprzęt - serwer zapewnia backup do 7 dni wstecz jakby co.
W każdym bądź razie - czy wszyscy zgodzą się z alco, że to normalne, iż pliki się wgrywają (np. obrazki) i wszystko da się w konfiguracji modyfikować, mimo, że nie muszę zmieniać praw do plików? Dla mnie to dziwne o tyle, że nie wiem, czy jakiś cracker nie będzie potrafił tak czegoś zrobić (kiedyś miałem ten prymitywny atak, jak to podstawiają stronę główną, niechciałbym tego znów zobaczyć).

Hello,

Your account is currently located on a Linux server and I just made a modification to the account php.ini file so the errors will be displaying now.

If there is anything we can do for you, please let us know. We will be glad to assist you each time you need our support.

Best Regards,
Pete

edit:
gdy zapytałem ponownie z prośbą o precyzję, czy jest to IIS, uzyskałem wreszcie odpowiedź.

No , I am afraid it is not.
Feel free to contact us again if there is anything we can help you with.

Best Regards,
Pete

[alco]

Nexus246 co mam konkretnie doczytac? tzn gdzie konkretnie napisalem cos zle ?
Owszem porobilem spore uproszczenie ale nie chcialem pisac elaboratu. Na forum mialo byc krotko.
Mozesz napisac na prv coby nie zasmiecac forum. Chyba ze uznasz ze moze sie to przydac innym.

pozdrawiam

[prezes]

Proszę Was jeszcze o doprecyzowanie.
Czyli nie jest nienormlane i niebezpieczne to, że ludzie mogą np. wgrywać pliki przez stronę, obrazki itp. mimo, że nie zmieniałem chmodów na 777, tylko są standardowe?