Windows 2003 schrijfrechten in subdir,veiligheids issue?

[janwillem]

Hallo,

Even een vraagje, kan het volgens jullie kwaad (voor de gehele server mbt hacking oid) om schrijfrechten aan te maken in een onderliggende map in een website? ik heb hier discussie over.

[SF-Jeroen]

Schrijfrechten voor ? CHMOD 777?

[janwillem]

schrijf / modify rechten maar dan op windows (CHMOD is Linux.)

[SF-Jeroen]

Ik zou dit zoiezo zoveel mogelijk vermijden. De enige files die ik rechten geen zijn .txt bestanden om dingen in te loggen. En eventueel een php file gedurende een setup.

Het hangt een beetje van de filesoort af, maar het is nooit aan te raden.

[almar]

Je bedoelt iets als:

c:\user1\website1\http\
en in dit geval schrijfrechten geven op c:\user1\website1\

dat lijkt me geen probleem. Maar ik weet niet hoe jullie structuur eruit ziet..

[gjtje]

Zolang je geen execute rechten geeft dat niet echt. In principe zou iemand met dat account iets kunnen uploaden en dan met een ander account data executen maar in dat geval zijn er wel andere wegen te bewandelen en hebben ze het account met schrijfrechten niet echt meer nodig.

[janwillem]

het gaat meer om IUSR rechten modify op bijvoorbeeld:

c:/user1/website1/MAP

Je bedoelt iets als:

c:\user1\website1\http\
en in dit geval schrijfrechten geven op c:\user1\website1\

dat lijkt me geen probleem. Maar ik weet niet hoe jullie structuur eruit ziet..

[almar]

Even voor de duidelijkheid, waarom zou je dit willen?

[Randy]

Ik noem een (ranzig) uploadscript voor een fotoboek?

[janwillem]

voor een standaard webshop die (plaatjes) wil uploaden in een bepaalde directory, en om niet de code van de shop te hoeven bijwerken

Even voor de duidelijkheid, waarom zou je dit willen?

[Digiover]

Indien rechten van de gebruiker en op overige folders correct ingesteld zijn is er geen enkel probleem om schrijfrechten te geven aan een subfolder. In fact, voor uploadscripts is het (zoals hier al gemeld) noodzakelijk.

[INEXPro]

Is dit niet iets dat IIS afvangt? Dat je als webserver niet bij de bestanden van mappen mag komen waar je 'niets' te zoeken hebt %WINNT% bijvoorbeeld?

[sdetroch]

Voor de veiligheid werk je best anders, met uw voorbeeld:
c:/user1/website1/MAP

beter is c:/user1/MAP
Die MAP dir zit dan niet in de webroot en is dus niet toegankelijk door externe bezoekers.

Indien je dat toch niet wil, geef dan enkel toegang tot je c:/user1/website1/MAP directory voor de localhost (webserver ip) - kan je instellen in het security tabblad van IIS.

Sven

[gjtje]

Is dit niet iets dat IIS afvangt? Dat je als webserver niet bij de bestanden van mappen mag komen waar je 'niets' te zoeken hebt %WINNT% bijvoorbeeld?

Nee, als je ASP.Net in mediumtrust draait dan kunnen .NET applicaties minder maar de rest wordt bepaald door de user waaronder de applicatie draait, IIS volgt netjes ntfs rechten.