Onderwerp: chmod en veiligheid

Hallo NG,

Een vraagje over chmod op een linux server:

Ik heb op een site van mij een data-map met plaatjes. Ik heb een
systeempje gemaakt waarmee ik via een formulier en php in dat mapje
plaatjes kan uploaden.
Toen heb ik de persmissies van dat mapje per ongeluk met chmod op 777
gezet...

Maar nu komt mijn vraag (puur uit nieuwsgierigheid): hoe kun je als
buitenstaander bestanden in zo'n map plaatsen??? Het 'upload' formulier
wat ik gemaakt heb, staat in een andere map welke beveiligd is met
..htaccess, het 'data' mapje heeft wel de permissies op 777 staan.

Dit omdat m'n site 'gehacked' is...Er stond in ene een bestandje in met
iets van 'The Hijack Team" ofzo...


Thanx alvast!
Ed

sliert wrote:

> Hallo NG,
>
> Een vraagje over chmod op een linux server:
>
> Ik heb op een site van mij een data-map met plaatjes. Ik heb een
> systeempje gemaakt waarmee ik via een formulier en php in dat mapje
> plaatjes kan uploaden.
> Toen heb ik de persmissies van dat mapje per ongeluk met chmod op 777
> gezet...
>
> Maar nu komt mijn vraag (puur uit nieuwsgierigheid): hoe kun je als
> buitenstaander bestanden in zo'n map plaatsen???

Alleen als je toegang hebt tot de server.

> Het 'upload' formulier
> wat ik gemaakt heb, staat in een andere map welke beveiligd is met
> .htaccess, het 'data' mapje heeft wel de permissies op 777 staan.
>
> Dit omdat m'n site 'gehacked' is...Er stond in ene een bestandje in met
> iets van 'The Hijack Team" ofzo...

Wellicht is je script zo lek als een zeef.

--
John Voorbeeldscripts in Perl: http://johnbokma.com/perl/
Website design: http://johnbokma.com/websitedesign/
Ervaren Perl / Java programmeur beschikbaar: http://castleamber.com/
Tevreden opdrachtgevers: http://castleamber.com/testimonials.html

John Bokma schreef:
> sliert wrote:
>
>
>>Hallo NG,
>>
>>Een vraagje over chmod op een linux server:
>>
>>Ik heb op een site van mij een data-map met plaatjes. Ik heb een
>>systeempje gemaakt waarmee ik via een formulier en php in dat mapje
>>plaatjes kan uploaden.
>>Toen heb ik de persmissies van dat mapje per ongeluk met chmod op 777
>>gezet...
>>
>>Maar nu komt mijn vraag (puur uit nieuwsgierigheid): hoe kun je als
>>buitenstaander bestanden in zo'n map plaatsen???
>
>
> Alleen als je toegang hebt tot de server.
>
>
>>Het 'upload' formulier
>>wat ik gemaakt heb, staat in een andere map welke beveiligd is met
>>.htaccess, het 'data' mapje heeft wel de permissies op 777 staan.
>>
>>Dit omdat m'n site 'gehacked' is...Er stond in ene een bestandje in met
>>iets van 'The Hijack Team" ofzo...
>
>
> Wellicht is je script zo lek als een zeef.
>

Dat script staat in een map welke beveiligd is met een .htaccess.

Edwin

sliert schreef:
> John Bokma schreef:
> > sliert wrote:
> >=20
> >>Het 'upload' formulier=20
> >>wat ik gemaakt heb, staat in een andere map welke beveiligd is met=20
> >>.htaccess, het 'data' mapje heeft wel de permissies op 777 staan.
> >>
> >>Dit omdat m'n site 'gehacked' is...Er stond in ene een bestandje in met=
=20
> >>iets van 'The Hijack Team" ofzo...
> >=20
> > Wellicht is je script zo lek als een zeef.
>=20
> Dat script staat in een map welke beveiligd is met een .htaccess.

Relevanter is welk type bestanden ge=FCploaded kunnen worden en of je=20
datamapje over het web bereikbaar is. Met andere woorden, kan iemand een=20
script uploaden en dat vervolgens simpel met de browser opvragen en=20
uitvoeren.

--=20
groet, Ronald

sliert wrote:

> Dat script staat in een map welke beveiligd is met een .htaccess.

Hoeveel mensen hebben toegang tot dat script?

Het is nog steeds waarschijnlijker dat iemand via je script dit gedaan
heeft, dan iemand op de machine.

Tenzij er een script op de machine draait dat in alle 777 dirs een
berichtje achterlaat.

1) doe eens een ls -al in die directory, en kijk wie de eigenaar/groep
is van elk bestand, ook dat Hijack team bestand
2) zoek eens op Google op een string uit dat Hijack bestand

--
John Voorbeeldscripts in Perl: http://johnbokma.com/perl/
Website design: http://johnbokma.com/websitedesign/
Ervaren Perl / Java programmeur beschikbaar: http://castleamber.com/
Tevreden opdrachtgevers: http://castleamber.com/testimonials.html

Ronald Klip schreef:
> sliert schreef:
>
>>John Bokma schreef:
>>
>>>sliert wrote:
>>>
>>>
>>>>Het 'upload' formulier
>>>>wat ik gemaakt heb, staat in een andere map welke beveiligd is met
>>>>.htaccess, het 'data' mapje heeft wel de permissies op 777 staan.
>>>>
>>>>Dit omdat m'n site 'gehacked' is...Er stond in ene een bestandje in met
>>>>iets van 'The Hijack Team" ofzo...
>>>
>>>Wellicht is je script zo lek als een zeef.
>>
>>Dat script staat in een map welke beveiligd is met een .htaccess.
>
>
> Relevanter is welk type bestanden geüploaded kunnen worden en of je
> datamapje over het web bereikbaar is. Met andere woorden, kan iemand een
> script uploaden en dat vervolgens simpel met de browser opvragen en
> uitvoeren.
>

Je kunt elk type bestand uploaden, maar die komen eerst in de tmp map.
Ik kopieer ze met php naar de data map.

Maar alleen ikzelf kan bij dat upload script (beveiligd met .htaccess)

Edwin

John Bokma schreef:
> sliert wrote:
>
>
>>Dat script staat in een map welke beveiligd is met een .htaccess.
>
>
> Hoeveel mensen hebben toegang tot dat script?
>
> Het is nog steeds waarschijnlijker dat iemand via je script dit gedaan
> heeft, dan iemand op de machine.

Alleen ikzelf heb toegang tot dat script.


>
> Tenzij er een script op de machine draait dat in alle 777 dirs een
> berichtje achterlaat.

Tja, het is gewoon een domein bij een hosting provider, dus daar zitten
nog een paar honderd (duizend?) andere gebruikers op die server...

>
> 1) doe eens een ls -al in die directory, en kijk wie de eigenaar/groep
> is van elk bestand, ook dat Hijack team bestand
> 2) zoek eens op Google op een string uit dat Hijack bestand
>

1) ik ben zo stom geweest om dat ding weg te gooien ...
2) Het enige wat ik tegenkwam was een site waar enorme overzichten in
stonden van websites die 'gehijacked' waren. Waaronder dus die van mij...

thanx
Edwin

Script toch niet als ROOT gemaakt?
dan vraag je om trubs

sliert wrote:
> Hallo NG,
>
> Een vraagje over chmod op een linux server:
>
> Ik heb op een site van mij een data-map met plaatjes. Ik heb een
> systeempje gemaakt waarmee ik via een formulier en php in dat mapje
> plaatjes kan uploaden.
> Toen heb ik de persmissies van dat mapje per ongeluk met chmod op 777
> gezet...
>
> Maar nu komt mijn vraag (puur uit nieuwsgierigheid): hoe kun je als
> buitenstaander bestanden in zo'n map plaatsen??? Het 'upload' formulier
> wat ik gemaakt heb, staat in een andere map welke beveiligd is met
> ..htaccess, het 'data' mapje heeft wel de permissies op 777 staan.
>
> Dit omdat m'n site 'gehacked' is...Er stond in ene een bestandje in met
> iets van 'The Hijack Team" ofzo...
>
>
> Thanx alvast!
> Ed