Bekijk Volledige Versie : Vuurwerk belachelijk?
Ik zit op de SSH van vuurwerk (ssh.vuurwerk.nl) en ik kan gewoon van alle gebruikers alle bestanden inlezen. Kernel 2.6.9. Mijn klant betaald hier voor een simpel webhostingpakketje 700 euro per jaar.
Zo zie je maar dat niet alle grote bedrijven hun zaken goed op orde hebben. Voor zo een bedrag verwacht je wel enige vorm van beveiliging, of?
flashbanger
11/07/07, 10:30
Heb je al contact met hen opgenomen en laat zeggen 48 uur voor reactie te geven en nog eens een schappelijke tijd om het op te lossen?
Dat is dan namelijk wel zo netjes om te doen.
Triloxigen
11/07/07, 10:51
Kun je alle bestanden zien, of kun je de inhoud van de bestanden ook zien?
Probleem speelt al wat langer: http://www.webwereld.nl/articles/27862/
Maar ze zijn zeker niet de enige hosting provider waar dit het geval is.
Of hosters die PHP onder de Apache user draaien zonder safe mode. Dan kan de klant ook overal bij.
Probleem speelt al wat langer: http://www.webwereld.nl/articles/27862/
Maar ze zijn zeker niet de enige hosting provider waar dit het geval is.
Of hosters die PHP onder de Apache user draaien zonder safe mode. Dan kan de klant ook overal bij.
Niet als je gebruikt van open_base_dir.
'en inlezen' staat er. Lijkt me dus dat je alle configuratie bestandjes gewoon kunt catten :s Lekker slim als er dan database configs instaan die niet versleuteld zijn, en dat komt toch behoorlijk veel voor
en "speelt al wat langer"? die post op webwereld is uit 1999 ;)
lijkt erop alsof ze nog steeds hun zaken niet op orde hebben dus
Niet als je gebruikt van open_base_dir.
Met alleen open_base_dir kan je er vaak nog steeds bij met constructies zoals:
system("cat /home/anderegebruiker/bestandje");
En ook daarvoor geldt dat als je weet wat je doet dat dat niet kan. System hoort gewoon in je lijstje met disable_functions te staan in je php.ini. Zelfs zonder PHP in Safe_Mode te draaien (als je deze onder de user van Apache draait) kan je de boel nog zo dicht zetten dat mensen niet bij elkaars bestanden kunnen. Is helemaal niks bijzonders en ik snap dan ook niet dat er nog steeds partijen zijn die dit niet doen, kan volgens mij maar één oorzaak voor zijn: niet voldoende verstand van zaken.
Ik zit op de SSH van vuurwerk (ssh.vuurwerk.nl) en ik kan gewoon van alle gebruikers alle bestanden inlezen. Kernel 2.6.9. Mijn klant betaald hier voor een simpel webhostingpakketje 700 euro per jaar.
Dan moeten die klanten leren chmodden.
Dan moeten die klanten leren chmodden.
FTP umask veranderen?
Ergens in '97 / '98 heb ik ooit voor iemand een site bij Vuurwerk geplaatst en toen kwam ik dit probleem ook al tegen. Ruim een half uur aan de telefoon gehangen met 1e en 2e lijns medewerkers, maar ook daar was het eindantwoord (letterlijk): "Dan moeten klanten hun directory maar chmod'en".
Ronduit te achtelijk voor woorden uiteraard. Destijds was PHP en MySQL nog niet zoveel gebruikt als nu, maar toch kon ik bij verschillende sites al hun config-filetjes uitlezen... Destijds draaiden TMF ook vuurwerk. Heb toen nog even gezocht of ik die directory ook kon vinden, maar helaas ;)
blackberry
11/07/07, 20:41
Met alleen open_base_dir kan je er vaak nog steeds bij met constructies zoals:
system("cat /home/anderegebruiker/bestandje");
Uhm... nee?
Ik zit op de SSH van vuurwerk (ssh.vuurwerk.nl) en ik kan gewoon van alle gebruikers alle bestanden inlezen. Kernel 2.6.9. Mijn klant betaald hier voor een simpel webhostingpakketje 700 euro per jaar.
Zo zie je maar dat niet alle grote bedrijven hun zaken goed op orde hebben. Voor zo een bedrag verwacht je wel enige vorm van beveiliging, of?Heel ernstig inderdaad. Maar ze lijken erg succesvol te zijn, ook al zijn er grote aantallen negatieve klantenervaringen.
http://webhosters.nl/providers/00051/Vuurwerk_Internet/ (95% negatief).