nicht angemeldet
Hello,
Wie richtet man denn so etwas richtig ein? Wenn alle Anwendungen (meines Wissens) nur unter dem Useraccount des Apachen laufen können, sehe ich keine Möglichkeit der Absicherung (außer dem Safe Mode, der ab PHP 5.4 nicht mehr existiert).
Das ist eine Sache der PHP-Installation.
Mittels passender Einstellungen für open_basedir und der von dir schon angesprochenen Verzeichnisse für Sessions, (Logs,) Uploads, htdocs und data sollte es passen. Ich habe das bisher jedenfalls immer dicht bekommen.
- PHP als CGI (meistens in einer eigenen CHROOT-Umgebung, also relativ sicher)
- PHP als FastCGI (siehe vorstehendes, aber schneller. Nicht so schnell, wie als Modul)
Diese Modi allein bringen noch keine Sicherheit. kann man zumindest einen Useraccount für die Ausführung explizit zuweisen. Den Rest muss die Systemkonfiguration bringen (Berechtigungen im Dateisystem). PHP als CGI im CHROOT hab ich auch noch nicht in freier Wildbahn gesehen (soll nicht heißen, dass es das nicht geben kann).
Das wäre aber das Normale. Da der User i.d.R. dann keinen Konsolenzugang erhält, sondern nur FTP, gibt es auch kaum aufbohrbare Lochansätze.
Liebe Grüße aus dem schönen Oberharz
Tom vom Berg
