[Comm] php script can read any file?! (Apache)

[Comm] php script can read any file?! (Apache)

[Carry Ram]

На Апаче 1.3.22 товарищь поднял виртуальный хост, его пользователь загружает туда php-скрипт, и с помощью него может читать любой файл на сервере!!!
Я сам с php знаком плохо, и не знаю что ему посоветовать, чтобы php скриптам из под Апача не были видны никакие другие директории выше пользовательской :((
Подскажите кто сталкивался. 

Re: [Comm] php script can read any file?! (Apache)

[Sergey Solomonov]

1 Ноябрь 2002 15:59, Вы написали:
> На Апаче 1.3.22 товарищь поднял виртуальный хост, его
> пользователь загружает туда php-скрипт, и с помощью него может
> читать любой файл на сервере!!! Я сам с php знаком плохо, и не
> знаю что ему посоветовать, чтобы php скриптам из под Апача не
> были видны никакие другие директории выше пользовательской :((
> Подскажите кто сталкивался.
В /etc/httpd/conf/php.ini 
safe_mode=on
 

> _______________________________________________
> Community mailing list
> Community@altlinux.ru
> http://www.altlinux.ru/mailman/listinfo/community

-- 

Соломонов С.Н.

Re[2]: [Comm] php script can read any file?! (Apache)

[Carry Ram]

>> На Апаче 1.3.22 товарищь поднял виртуальный хост, его
>> пользователь загружает туда php-скрипт, и с помощью него может
>> читать любой файл на сервере!!! Я сам с php знаком плохо, и не
>> знаю что ему посоветовать, чтобы php скриптам из под Апача не
>> были видны никакие другие директории выше пользовательской :((
>> Подскажите кто сталкивался.
>В /etc/httpd/conf/php.ini 
>safe_mode=on

Уже нашел Ж), спасибо.
Но этого мало, нужно еще в конфигах virtualhost'a прописать:

php_admin_value open_basedir /путь/к/диру/

пойду пробовать, поможет - поделюсь...

Re: [Comm] php script can read any file?! (Apache)

[Artem K. Jouravsky]

On Fri, Nov 01, 2002 at 05:52:24PM +0300, Carry Ram wrote:
> >> На Апаче 1.3.22 товарищь поднял виртуальный хост, его
> >> пользователь загружает туда php-скрипт, и с помощью него может
> >> читать любой файл на сервере!!! Я сам с php знаком плохо, и не
> >> знаю что ему посоветовать, чтобы php скриптам из под Апача не
> >> были видны никакие другие директории выше пользовательской :((
> >> Подскажите кто сталкивался.
> >В /etc/httpd/conf/php.ini 
> >safe_mode=on
> 
> Уже нашел Ж), спасибо.
> Но этого мало, нужно еще в конфигах virtualhost'a прописать:
> 
> php_admin_value open_basedir /путь/к/диру/
> 
> пойду пробовать, поможет - поделюсь...
Есть ещё вариант. Запускать php как CGI, т.е. как интертрепатор only. Ну и
поставить suexec. Дальше скрипты запускаются от имени
пользователя-владельца, остальное -- дело техники.

-- 
Best wishes,
Artem K. Jouravsky,
iFirst Ltd, System Administrator.
-----------------------
Budget cuts