nicht angemeldet
Hoi Kess,
schoen, dich mal wieder zu lesen ;-)
Klar laesst sie sich. Durch entsprechende CGI-Wrapper und/oder
eine vernuenftige Verteilung der Rechte und
Gruppenzugehoerigkeiten.
Nein, nicht in jedem Fall. Eine beliebte Kombination aus
Unix/Linux, Apache 1.3.x und suExec läßt sich beispielsweise nur
begrenzt absichern.
Nein, nicht wirklich.
Beispiel:
Jede Kundendomain ist als eigener Virtual Host mit eigener Userid
und Gruppenid eingerichtet. Alle Dateien und Skripte in diesem
Webspace gehören dem User und sind für 'others' nicht
lesbar/beschreibbar/ausführbar. Skripte laufen mit der Userid und
Gruppenid des Kunden. Auf statische Dateien greift der Apache mit
seiner Userid zu.
Genau.
Damit er das darf, muss er Mitglied der Gruppe des Kunden sein.
Richtig.
Ein User unter Unix/Linux darf standardmäßig - sofern der Kernel
nicht anders kompiliert wurde - maximal in
acht/sechzehn/zweiunddreizig (je nach System) Gruppen Mitglied
sein.
Du sagst es: sofern der Kernel nicht angepasst wurde :-) Anderseits
ist das auch nur eine der Moeglichkeiten. Eine andere waere eine
Art 'jail' wie bei FreeBSD oder eine gepatchte Script-Sprache, die
den Config-Eintrag 'openbasedir' von PHP implementiert.
Gruesse,
c.j.k