xqleg
01-09-2006, 14:53
W obliczu ostatnich włamów do serwisów opartych na Joomla oraz nieustającego wzrostu popularności tego CMS'a warto poruszyć temat praw do plików i katalogów samego serwisu.
Zrobiłem mały test otóż w serwisie joomla.pl oraz pomoc.joomla.pl wyszukałem wyrażenie CHMOD. W pierwszym przypadku 0 wyników, w drugim - 2. Jeden dotyczy ustawień praw do plików i katalogów podczas procesu instalacji, drugi objaśnia zakładkę Uprawnienia w poleceniu Informacje o systemie w panelu admina. Nowy użytkownik/administrator Joomla po przeprowadzonej instalacji oczywiście ujrzy we wspomnianej zakładce "zielone" wyniki. Ale dla niego nie oznacza to tzw. spokojnej głowy. Przynajmniej on może nie być tego świadomym.
Mając na uwadze regułę Pareto wnioskuję, że 20% naszych nakładów/wysiłków powinno przynieść 80% efektów. Poszukiwania informacji o tym co należy zrobić z prawami do plików i katalogów po instalacji (powtarzam po instalacji) uważam za NIEUDANE. Również na niniejszym forum odnalezienie takich informacji nie jest łatwe i szybkie. Jest oczywiście TEN (http://forum.joomla.pl/forum/showpost.php?p=11252&postcount=5) post Zwiastuna ale on nie wyczerpuje tematu i trzeba się nieźle naszukać aby do niego dotrzeć. Dodatkowo przydałby się topic właśnie w TYM (niedawno utworzonym) dziale.
Ogólnie panuje przekonanie, iż należy ustawić chmod dla katalogów na 755 i 644 dla plików. (Proszę mnie poprawić jeśli się mylę)
Ja jednak chciałbym zapytać co bardziej obeznanych w temacie o kwestię własności plików.
Wrzucając na serwer pliki za pomocą FTP właścicielem ich staje się użytkownik taki sam jak w przypadku autoryzacji FTP. Wówczas prawa na poziomie 755 (nieograniczone dla właściciela, czytaj i wykonaj dla innych) powodują niemożność instalacji za pomocą standardowych instalatorów Joomla wszelkich komponentów, modułów etc.
Teraz pytanie: Czy lepiej jest wtedy na czas instalacji wszelkiego rodzaju dodatków zmienić chmody dla odpowiednich katalogów na 775 (nieograniczone również dla grupy) czy może ustawić taki chmod na stałe? Czy pozostawienie 775 nie zmniejsza w znacznym stopniu bezpieczeństwa naszej witryny? Jak mają się do siebie kategorie Grupa i Świat?
Druga rzecz. Po wykorzystaniu instalatorów Joomla nowe pliki/katalogi należą do użytkownika innego niż nasz FTP-user. W zależności od serwera jest to nobody, Apache lub www (być może jeszcze jakieś inne - ja spotkałem się z tymi trzema lub ich połączeniami). Pojawia się w tym momencie pytanie czy lepiej aby dla wszystkich plików Joomla ustawić takiego samego właściciela (czyli takiego, który instaluje z poziomu www) i nadać katalogom chmod 755? Czy może sami sobie wtedy strzelimy gola bo w przeciwnym przypadku przynajmniej część plików (ta wgrywana za pomocą FTP) będzie nienaruszalna dla ewentualnego atakującego naszą witrynę hackera?
Proszę o, w miarę możliwości, wyjaśnienie tych kwestii i/lub dopisywanie linków do wątków o chmodach po instalacji do tego tematu. Oczywiście jeśli admini wyrażą na to zgodę...
Zrobiłem mały test otóż w serwisie joomla.pl oraz pomoc.joomla.pl wyszukałem wyrażenie CHMOD. W pierwszym przypadku 0 wyników, w drugim - 2. Jeden dotyczy ustawień praw do plików i katalogów podczas procesu instalacji, drugi objaśnia zakładkę Uprawnienia w poleceniu Informacje o systemie w panelu admina. Nowy użytkownik/administrator Joomla po przeprowadzonej instalacji oczywiście ujrzy we wspomnianej zakładce "zielone" wyniki. Ale dla niego nie oznacza to tzw. spokojnej głowy. Przynajmniej on może nie być tego świadomym.
Mając na uwadze regułę Pareto wnioskuję, że 20% naszych nakładów/wysiłków powinno przynieść 80% efektów. Poszukiwania informacji o tym co należy zrobić z prawami do plików i katalogów po instalacji (powtarzam po instalacji) uważam za NIEUDANE. Również na niniejszym forum odnalezienie takich informacji nie jest łatwe i szybkie. Jest oczywiście TEN (http://forum.joomla.pl/forum/showpost.php?p=11252&postcount=5) post Zwiastuna ale on nie wyczerpuje tematu i trzeba się nieźle naszukać aby do niego dotrzeć. Dodatkowo przydałby się topic właśnie w TYM (niedawno utworzonym) dziale.
Ogólnie panuje przekonanie, iż należy ustawić chmod dla katalogów na 755 i 644 dla plików. (Proszę mnie poprawić jeśli się mylę)
Ja jednak chciałbym zapytać co bardziej obeznanych w temacie o kwestię własności plików.
Wrzucając na serwer pliki za pomocą FTP właścicielem ich staje się użytkownik taki sam jak w przypadku autoryzacji FTP. Wówczas prawa na poziomie 755 (nieograniczone dla właściciela, czytaj i wykonaj dla innych) powodują niemożność instalacji za pomocą standardowych instalatorów Joomla wszelkich komponentów, modułów etc.
Teraz pytanie: Czy lepiej jest wtedy na czas instalacji wszelkiego rodzaju dodatków zmienić chmody dla odpowiednich katalogów na 775 (nieograniczone również dla grupy) czy może ustawić taki chmod na stałe? Czy pozostawienie 775 nie zmniejsza w znacznym stopniu bezpieczeństwa naszej witryny? Jak mają się do siebie kategorie Grupa i Świat?
Druga rzecz. Po wykorzystaniu instalatorów Joomla nowe pliki/katalogi należą do użytkownika innego niż nasz FTP-user. W zależności od serwera jest to nobody, Apache lub www (być może jeszcze jakieś inne - ja spotkałem się z tymi trzema lub ich połączeniami). Pojawia się w tym momencie pytanie czy lepiej aby dla wszystkich plików Joomla ustawić takiego samego właściciela (czyli takiego, który instaluje z poziomu www) i nadać katalogom chmod 755? Czy może sami sobie wtedy strzelimy gola bo w przeciwnym przypadku przynajmniej część plików (ta wgrywana za pomocą FTP) będzie nienaruszalna dla ewentualnego atakującego naszą witrynę hackera?
Proszę o, w miarę możliwości, wyjaśnienie tych kwestii i/lub dopisywanie linków do wątków o chmodach po instalacji do tego tematu. Oczywiście jeśli admini wyrażą na to zgodę...