Ik gebruik DA en het is mogelijk om via een bepaalde account bestanden te bekijken en soms te herschrijven van een andere account op de server. Je moet wel de gebruikersnaam kennen.
Wat doe ik hieraan?
Likes: 0
24/12/06 19:54
Ik gebruik DA en het is mogelijk om via een bepaalde account bestanden te bekijken en soms te herschrijven van een andere account op de server. Je moet wel de gebruikersnaam kennen.
Wat doe ik hieraan?
24/12/06 19:59
support [at] directadmin [dot] com mailen en deze 'bug' doorgeven!
24/12/06 20:01
Zal ik zsm doen.
Ik ben nu op zoek naar een snelle oplossing
24/12/06 22:37
Je zou iedereen een random username kunnen geven ipv de eerste 8 karakters van het domein...
Het is dan alsnog wel te raden, maar in ieder geval een stuk lastiger!
24/12/06 22:38
Het is niet mogelijk om de usernames achteraf aan te passen?
24/12/06 23:55
change_username.sh scriptje in /usr/local/directadmin/scripts
Mag ik vragen, doe je dat uitlezen via .php file of echt via directadmin? want als het via php is, heeft het niet zo zeer te maken met een bug in da.
Dat dit via php kan is overigens ook geen geheim meer
Laatst gewijzigd door Teun; 25/12/06 om 00:07.
25/12/06 01:20
Als het via php kan dan is dat met open_basedir te fixen.Oorspronkelijk geplaatst door Teun
change_username.sh scriptje in /usr/local/directadmin/scripts
Mag ik vragen, doe je dat uitlezen via .php file of echt via directadmin? want als het via php is, heeft het niet zo zeer te maken met een bug in da.
Dat dit via php kan is overigens ook geen geheim meer
25/12/06 02:29
Daarmee voorkom je niet zozeer het uitlezen, maar meer het kijken in dirs en de inhoud listen.
Als je de exacte lokatie van een file weet zijn er nog maar zat leuke functies
Maar er is natuurlijk maar 1 iemand die duidelijkheid kan geven
25/12/06 09:49
Het is het lezen van bestanden... Niet zozeer dirs listen
De locatie moet inderdaad bekend zijn.
25/12/06 10:54
Maarrr.. nu weten we nog steeds niet of het via een php scriptje gaat of echt via directadmin?
26/12/06 16:11
Het is via een phpscriptje. Maar, het is de DA-username die geraden moet worden.
Bovendien kun je zowel mappen als bestanden uitlezen.
open_basedir Kan je daar op resellergebied iets aan doen?
26/12/06 20:34
nee open_basedir moet je volledige toegang hebben op server (root), veel zal jij er niet aankunnen doen. Enige wat je kunt doen is je provider mailen en vragen of ze iets aan hun security kunnen doen.
En DirectAdmin mailen heeft niet echt veel nut, dit is echt geen bug in DirectAdmin...
27/12/06 00:24
Ik heb het voorgelegd op het DA-forum. Zij geven dit aan als oplossing.µ
Hello,
Go to Admin Level -> Php Safemode Configuration.
Enable Open Basedir for all domains. This will prevent php scripts from reading other people's home directories.
Then to tightenup the security for the system user permissions, you can use this option:
http://www.directadmin.com/features.php?id=497
to set the public_html to 750 for new domains (chgrp to apache). This allows only the owner of the files and apache to read the files in the public_html. This only sets the permissions on the public_html for newly created domains, so to set them for existing ones, type:
code:cd /home
chgrp apache */domains/*/public_html
chmod 750 */domains/*/public_html
John
27/12/06 22:56
Ik dacht al dat het een scriptje was
Quote