Onderwerp: Vuurwerk belachelijk?

Ik zit op de SSH van vuurwerk (ssh.vuurwerk.nl) en ik kan gewoon van alle gebruikers alle bestanden inlezen. Kernel 2.6.9. Mijn klant betaald hier voor een simpel webhostingpakketje 700 euro per jaar.

Zo zie je maar dat niet alle grote bedrijven hun zaken goed op orde hebben. Voor zo een bedrag verwacht je wel enige vorm van beveiliging, of?

Heb je al contact met hen opgenomen en laat zeggen 48 uur voor reactie te geven en nog eens een schappelijke tijd om het op te lossen?

Dat is dan namelijk wel zo netjes om te doen.

Kun je alle bestanden zien, of kun je de inhoud van de bestanden ook zien?

Probleem speelt al wat langer: http://www.webwereld.nl/articles/27862/

Maar ze zijn zeker niet de enige hosting provider waar dit het geval is.
Of hosters die PHP onder de Apache user draaien zonder safe mode. Dan kan de klant ook overal bij.

Oorspronkelijk geplaatst door maxnet

Probleem speelt al wat langer: http://www.webwereld.nl/articles/27862/

Maar ze zijn zeker niet de enige hosting provider waar dit het geval is.
Of hosters die PHP onder de Apache user draaien zonder safe mode. Dan kan de klant ook overal bij.

Niet als je gebruikt van open_base_dir.

'en inlezen' staat er. Lijkt me dus dat je alle configuratie bestandjes gewoon kunt catten :s Lekker slim als er dan database configs instaan die niet versleuteld zijn, en dat komt toch behoorlijk veel voor

en "speelt al wat langer"? die post op webwereld is uit 1999
lijkt erop alsof ze nog steeds hun zaken niet op orde hebben dus

Oorspronkelijk geplaatst door almar

Niet als je gebruikt van open_base_dir.

Met alleen open_base_dir kan je er vaak nog steeds bij met constructies zoals:

Code:

system("cat /home/anderegebruiker/bestandje");

En ook daarvoor geldt dat als je weet wat je doet dat dat niet kan. System hoort gewoon in je lijstje met disable_functions te staan in je php.ini. Zelfs zonder PHP in Safe_Mode te draaien (als je deze onder de user van Apache draait) kan je de boel nog zo dicht zetten dat mensen niet bij elkaars bestanden kunnen. Is helemaal niks bijzonders en ik snap dan ook niet dat er nog steeds partijen zijn die dit niet doen, kan volgens mij maar één oorzaak voor zijn: niet voldoende verstand van zaken.

Oorspronkelijk geplaatst door cashmere

Ik zit op de SSH van vuurwerk (ssh.vuurwerk.nl) en ik kan gewoon van alle gebruikers alle bestanden inlezen. Kernel 2.6.9. Mijn klant betaald hier voor een simpel webhostingpakketje 700 euro per jaar.

Dan moeten die klanten leren chmodden.

Oorspronkelijk geplaatst door Tristan-C

Dan moeten die klanten leren chmodden.

FTP umask veranderen?

Ergens in '97 / '98 heb ik ooit voor iemand een site bij Vuurwerk geplaatst en toen kwam ik dit probleem ook al tegen. Ruim een half uur aan de telefoon gehangen met 1e en 2e lijns medewerkers, maar ook daar was het eindantwoord (letterlijk): "Dan moeten klanten hun directory maar chmod'en".

Ronduit te achtelijk voor woorden uiteraard. Destijds was PHP en MySQL nog niet zoveel gebruikt als nu, maar toch kon ik bij verschillende sites al hun config-filetjes uitlezen... Destijds draaiden TMF ook vuurwerk. Heb toen nog even gezocht of ik die directory ook kon vinden, maar helaas

Oorspronkelijk geplaatst door maxnet

Met alleen open_base_dir kan je er vaak nog steeds bij met constructies zoals:

Code:

system("cat /home/anderegebruiker/bestandje");

Uhm... nee?

Oorspronkelijk geplaatst door cashmere

Ik zit op de SSH van vuurwerk (ssh.vuurwerk.nl) en ik kan gewoon van alle gebruikers alle bestanden inlezen. Kernel 2.6.9. Mijn klant betaald hier voor een simpel webhostingpakketje 700 euro per jaar.

Zo zie je maar dat niet alle grote bedrijven hun zaken goed op orde hebben. Voor zo een bedrag verwacht je wel enige vorm van beveiliging, of?

Heel ernstig inderdaad. Maar ze lijken erg succesvol te zijn, ook al zijn er grote aantallen negatieve klantenervaringen.
http://webhosters.nl/providers/00051/Vuurwerk_Internet/ (95% negatief).