Peter Squentz: url mit /etc/passwd : Sicherheitslücke ?!

Beitrag lesen

nicht ganz, das problem tritt dann auf wenn document root / ist also root des filesystems.

und derjenige der das eingerichtet hat gehört geterrt gefedert und ans seinem pimmel aufgehängt :-)

Du schnallst es nicht, denke ich. Die Datei, die per http zu erreichen ist, ist mitnichten die globale /etc/passwd. Es ist tatsaechlich ein Ausschnitt daraus, der im Documentroot des (virtuellen) Webservers liegt. Bei einem FTP-Login wird uns eine chroot-Umgebung fuer das Verzeichnis erstellt. Nur in dieser chroot-Umgebung ist die Datei /etc/passwd.

Natuerlich kann man das Verzeichnis auch vor dem Zugriff ueber's Web schuetzen.

Peter