Apache+Proftpd虚拟主机的安全问题
来源:asp之家 发布时间:2009-08-18 10:42:00
1. proftpd建立hostuser/hostuser帐号,所有用户均映射到该帐号。
htdocs/hosts 目录属主也为hostuser
这样用户使用FTP上传的文件属性为hostuser(644 755)。
将FTP锁定用户在自己的主目录下。
apache以nobody运行(以独立apache用户更好),读hostuser的脚本文件。
对于要写入的目录uploads和cache,必须设定777,且循环设定其子目录。两个目录禁止脚本执行(.htaccess:php_flag engine off)。这样即使黑客上传webshell到这两个目录,也无法执行。
这样cache或uploads中的新文件的属主将是nobody
cache目录要限制对外访问。
这里存在一个问题,就是apache生成的文件和目录644和755,当proftpd以hostuser:hostuser运行时,用户是无法删除cache或uploads中的内容的。
解决方法:
(1) 在PHP程序中chmod文件和目录分别为666和777
以adodb为例,需修改adodb.inc.php文件1681行if (!mkdir($dir,0771)) 和adodb-csvlib.inc.php文件287行chmod($tmpname,0644);两个地方
(2) 让用户在系统里面清空cache和uploads
2. PHP safe_mode,它的主要作用是读写文件时会检查当前脚本和要读写或修改的文件属主是否一致,如果不一致就拒绝修改。
不过,如果当前脚本属主是hostuser,要删除属主是nobody的uploads目录下的文件,一旦safe_mode打开,就不能写了。
所以safe_mode默认是不打开的,
其替代方案为:
php_admin_value open_basedir /docroot 限制每个用户只能访问自己的文件。这里的docroot是程序的根目录,不是程序下的cache或uploads目录。如果不是根目录,PHP程序都无法访问。
3. (不一定能保证)所有PHP程序脚本能过滤Remote Code Execution和Local File Include攻击。否则黑客仍有可能读取config.php中的密码,或者直接读写cache或uploads目录中的内容。
cache目录中不可存放类似用户密码之类的数据。
4. expose_php设为off ,这样php不会在http文件头中泄露PHP的版本号。
猜你喜欢
- 博客程序,特别是WordPress,Zblog等等因为页面结构简单轻量,文章相关度粘性强,所以很适合针对搜索引擎的优化。那么我们要做的就是发
- 北京时间5月1日消息 据消息人士透露,微软董事会周三召开会议,讨论如何打破在收购雅虎问题上的僵局,会议结束后将发布公告。目前还不清楚微软是发
- 图片采集归类的方法有两种,一种是根据图片的注释,一种是进行图像的人工智能分析。显然这两种方法都不能令人满意。对于第一种,图片的发布者很容易作
- 80后CEO陈博也许每一家知名的IT公司都会有不少像陈博这样的年轻人,他们从名牌大学毕业、成为技术高手、心怀梦想,厌倦了单纯的技术工作,希望
- 一、定位1、网站的前景。网站的定位直接影响到日后的盈利模式,因此网站的发展方向、受众群体、受众的多少起了决定性的作用。2、自身的优势。看看自
- 文件传输协议(FTP:File Transfer Protocol)使得主机间可以共享文件。 FTP 使用 TCP 生成一个虚拟连接用于控制
- 阿里妈妈是一个广告交易平台,但我觉得它更象是一个广告跳蚤市场。截止我写这篇博客为止,阿里妈妈已经拥有9503个站点的14542个广告位了,这
- 概要当用户试图通过 HTTP 或文件传输协议 (FTP) 访问一台正在运行 Internet 信息服务 (IIS) 的服务器上的内容时,II
- 打开注册表编辑器,找到 HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control,将 Wait
- 1、搭建telnet服务器2、搭建DHCP服务器3、搭建DNS服务器4、搭建sendmail服务器5、搭建FTP服务器6、搭建web服务器
- Textpattern 往往被视为最灵活的开源CMS之一,其轻巧的身形和简洁的界面,深受开发者和设计师的喜欢。一起来认识下Textpatte
- 我们先了解一下FTP文件传输协议(File Transfer Protocol,FTP)是用于在网络上进行文件传输的一套标准协议,它工作在
- 1. unlink函数 对于硬链接来说,unlink 用来删除目录项,并把 inode 引用计数减 1,这两步也是一个原子过程。直到 in
- 从来不怀疑,国内互联网对于概念的炒作能力,在炒作这点上,国内互联网的功力甚至已经超越了娱乐圈,娱乐圈炒作的内容虽然不见得是实事,但炒作的对象
- 不知道大家是否也跟我一样,是一只要把的自己电脑文件安排的条理有序,把没用的文件会及时删掉的程序猿呢?如果是的话,那么我们可以愉快地探讨下文章
- 我从去年元月份起,做了三个新站。三个站都遭遇了同样的问题,把我做新站过程中遇到的百度三月之痒写出来,希望对新做站的朋友有帮助。第一个站元月份
- lvs+keepalived是什么? keepalived工作原理keepalived是集群管理中保证集群高可用的一个服务软件,其功能类似于
- 说明如下: 1. 在配置文件里设置: 打开httpd.conf编辑,将下列block如下编辑: httpd.conf <Directo
- 有这样一句话:国际化就是本土化,本土化是国际化的核心。这句话虽然简单,但是却蕴含着很多道理。如果一家企业或一种产品想要打入国际市场,就一定要
- iis &nb