Onderwerp: [Apache2+PHP] Processen van de gebruiker ipv van apache

Oorspronkelijk geplaatst door gjtje

Lijkt me logisch dat het alle bestanden weer geeft, aangezien degene die het script draait eigenaar is van die bestanden.

Van de eigen users wel inderdaad. Maar root root rwxr-x--- bestanden geven gewoon permission denied, zoals het moet.

Ik heb wel nu sinds dat ik mod_ruid heb draaien dat enkele apache processen regelmatig op 115%(?) cpu usage blijven hangen. Het systeem werkt prima verder maar toch staat een load van 55 wat vreemd.

Hier geen last van met Apache 2.0.x. Weet je zeker dat het mod_ruid is en niet een bepaalde site/script/mod_rewrite/whatever?

(kan nu niet testen want heb alleen gepatchte mod_ruid hier in de buurt)

het is natuurlijk het te verwachten resultaat, maar jammer is het wel want daardoor kan je geen bestanden meer onzichtbaar maken voor de buitenwereld (zoals sqlite files bijvoorbeeld)

maar goed, hier is ongeveer de code die ik in de ruid_uiiii functie heb toegevoegd, mocht iemand interesse hebben:

Code:

if (r->finfo.filetype != APR_NOFILE)
{
  if (!(r->finfo.protection & APR_WREAD))
  {
     ap_log_error(...);
     return HTTP_FORBIDDEN;
  }
}

Oorspronkelijk geplaatst door t.bloo

(kan nu niet testen want heb alleen gepatchte mod_ruid hier in de buurt)

het is natuurlijk het te verwachten resultaat, maar jammer is het wel want daardoor kan je geen bestanden meer onzichtbaar maken voor de buitenwereld (zoals sqlite files bijvoorbeeld)

Het afschermen van config files, sqlite files, etc. doe je door ze buiten de webroot te houden of een .htaccess met 'deny from all' in de betreffende map te plempen.

Overigens: je patch lijkt het uitvoeren van niet word-readable scripts te voorkomen, maar doet m.i. niets aan dat een script niet-world readable bestanden kan benaderen die aan de eigen user toebehoren (moet je ook niet willen denk ik).

Oorspronkelijk geplaatst door Keenondots

maar doet m.i. niets aan dat een script niet-world readable bestanden kan benaderen die aan de eigen user toebehoren

nooit meer patchen dan noodzakelijk is he

Oorspronkelijk geplaatst door t.bloo

nooit meer patchen dan noodzakelijk is he

Maar ik begrijp je verhaal over sqlite bestanden dan niet, maar misschien heb ik niet goeg gelezen.

mijn klanten willen een eenvoudige en snelle manier hebben om de buitenwereld van bepaalde bestanden af te houden, en zonder mod_ruid gaat dat met niet-leesbaar maken voor "world". je wil toch niet dat ze je database kunnen opvragen via de browser? en ja dat kan ook door het buiten de docroot te plaatsen (lastig bij bestaande scripts) en met extra directories (extra werk) en met htaccess bestanden (trager) maar dat was de vraag even niet.

Ik geef mijn gebruikers standaard een vrije docroot waarvan ze weten dat áls het in die directory staat, het mogelijk via de browser op te vragen is. Ze kunnen alle 'gevaarlijke' bestanden buiten die root plaatsen om te voorkomen dat bij een fout oid. de bestanden niet meteen beschikbaar worden via Apache2.