Hallo Martin, hallo Leute, Am Montag, 18. Oktober 2004 02:39 schrieb Martin Falley:
On Sunday 17 October 2004 23:27, Christian Boltz wrote:
Am Samstag, 16. Oktober 2004 02:27 schrieb Martin Falley:
Das sagt phpinfo.php auf dem Server: open_basedir no value no value [...]
.. und auf meinem localhost ist es genauso. ist das nun gut oder eher schlecht?
Auf localhost ist es eigentlich egal, aber auf einem Server würde mir das nicht so gut gefallen.
Aber ändern kann ich das wohl nicht?
Doch. Beim Provider beschweren. Begründung: Du machst Dir Sorgen, dass jemand Dein MySQL-Passwort ausliest (das ja in irgendeinem PHP-Script rumliegt) und dann Deine Daten manipuliert. Wenn Du dann noch ein Dateilistung oder "geheime" Dateiinhalte von /etc und/oder anderen "nicht zugänglichen" Verzeichnissen präsentierst (was dank diverser Verzeichnislisting-Scripte für PHP nicht schwer ist), sollte der Provider so langsam kapieren, dass er was ändern muss. Wenn nicht, empfiehlt sich ein anderer Provider ;-) (und spätestens bei diesem Wink dürfte Dein jetziger aktiv werden ;-))
Hintergrund: open_basedir bestimmt, in welchen Verzeichnissen PHP Dateien lesen und schreiben darf (so es die Linux-Dateirechte erlauben).
Intuitiv würde ich denken, daß open_basedir das 'root-Verzeichnis' von PHP ist. Da es ja nur Webspace und kein Root-Server ist, ist es klar, daß da nicht jeder Webspace-User din rumkritzeln darf. Und 'no value' würde ich denken, daß es 'nicht gesetzt' bedeutet und vielleicht als Standardwert '0' annimmt, sodaß man darin dann nicht schreiben kann.
"no value" bedeutet "/" - und zwar den Dateisystem-/, nicht das Hauptverzeichnis Deines Webspace! Also: "no value" = keine Einschränkung. PHP darf überall rumwühlen, wo wwwrun Leserechte hat. Guck einfach mal auf http://php.net in die Doku zu open_basedir, da ist das Ganze etwas genauer erklärt.
Ist open_basedir nicht gesetzt, könntest Du also theoretisch alle Dateien, die für wwwrun lesbar sind [1], lesen sowie alle Dateien, die wwwrun gehören [2], manipulieren. Nette Sicherheitslücke...
Inhaber der Verzeichnisse und Dateien ist 'ftpuser' und läßt sich ebenfalls nicht ändern.
Du kannst aber beispielsweise mit Hilfe von PHP die Daten anderer Kunden auslesen.
Das Einzige, was ich ändern kann, sind die Ausführungsrechte der Dateien und Verzeichnisse (000-777).
Das ist der erste Schritt. Dann ändere mal die Rechte eines Verzeichnisses auf 777, installiere ein PHP-File-Upload-Script und lade eine Datei hoch. Na, wem gehört die Datei dann? (vermutlich wwwrun!) Gruß Christian Boltz -- Tut mir leid. Tu hast dich dafür entschieden, Computer zu benutzen. Aus irgendeinem Grunde glaubst du, das sei risikofrei. Ich versichere dir, daß es das nicht ist. Computer sind böse, rostige, alte Kettensägen, die grundlos anspringen. [Ratti in suse-linux]