text: Apache Friends Support Forum • View topic - Ab htdocs (aufwärts) sperren mit Apache
  Ab htdocs (aufwärts) sperren mit Apache
  by MrMorpheus » 10. December 2004 21:06
  hab nen kleinen webserver am laufen, und würde gerne alles was überdem Ordner htdocs ist für scripte sperren.
  Weis jemand ob bzw. wenn wie man dem Apache so etwas bei bringen kann?
  euer MrMorpheus
  Joined: 10. December 2004 17:32
  by deepsurfer » 13. December 2004 13:44
  benutzt du Linux oder Windows als Betriebssystem für den XAMPP ??
  by Wiedmann » 13. December 2004 16:26
  Was für Scripte? PHP, Perl, ...?
  by MrMorpheus » 13. December 2004 16:56
  OS: WindowsXP Pro SP1
  ich habe ein eigentlich recht hilfreiches tool gefunden, mit dem man sich verzeichnise auf einem Webserver ansehn kann, jedoch zeigt es auch verzeichnise dies- und jenseits der htdocs grenze an. Beispielsweise war es mit dem Script ohne weiteres möglich das passwd file auf einem 1&1 Server zu sehen oder die anderen Kunden Verzeichnise. (sehr sicher also!)
  Ich will nur noch mal betonen, dass das nur ein PHP Script ist und nichts mehr!
  thx euer MrMorpheus
  by deepsurfer » 13. December 2004 18:53
  hast du acuh mal versucht mit diesem script bei dem anderen 1&1 Kunden etwas zu ändern... da sollte selbst dein script nicht mitmachen.
  Wenn dann eine Änderung von Dir durchführbar ist, DANN kannst du von einem Sicherheitsproblem sprechen.
  Du kannst sogar die .htaccess dateien sehen, ABER nicht editieren...wenn doch dann kannst du von einem Sicherheitsproblem ausgehen.
  Selbst vermeintliche System-interne Verzeichnisse siehst Du, diese sind aber zu 99,999999999 % SoftLinks und werden gebraucht um die Administration der Serverbänke aufrecht zu erhalten.
  Diesen Umstand hatte Strato auch eine Zeitlang.
  Setz Dich per Mail mit dem Service von 1&1 Verbindung und schildere deine Erkenntnise. Sachlich und ohne Zwang.
  Die werden sicherlich zuerst mit einem belanglosen text antworten, sei dir aber gewiss das die in den kommenden tagen die Config der Server ändern und alle wieder so ist wie es sein sollte.
  by MrMorpheus » 13. December 2004 19:04
  Ja, du hast selbestverständlich recht, dass ich keine Dateien editieren kann, jedoch hat man unter umständen zugang zu Datein dessen Inforamtionsgehalt nicht unbedingt dritte lesen müssen (Logs. usw.!)
  aber das ist ja nicht das eigentlich Problem. Um wieder zu meiner Frage zurück zu kommen wie man Apache verbietet PHP usw. Verzeichnise und Files überhalb des htdocs Ordner darzustellen.
  by deepsurfer » 13. December 2004 19:08
  ich hab den richtigen Befehlcode jetzt nicht hier..... leider....
  hat auf jedenfall etwas mit den
  Optionen "Directory Indexex / FollowSymLinks" etc. zutun.
  wie heist denn das PHPscript, dann kann man (ich auch) es gegentesten und dir dann expliziet eine Einstellung mitteilen.
  Vielleicht kommt auch gleich ein ApacheCONFGuru der die lösung hat.
  by deepsurfer » 13. December 2004 19:12
  hhmm... grad was gelesen....
  Schau mal bei 1&1 mit phpinfo() nach ob der SafeMode eingeschaltet ist, wenn dieser aus ist können scripte oberhalb des eigenen Webroots zugreifen.
  Was deiner Erkenntnis bei 1&1 nahe liegt.
  http://www.rhone.ch/php.html
  by MrMorpheus » 13. December 2004 21:21
  ich hab jetzt grade mal einen blick auf phpinfo() auf nem 1&1 Server gefunden, allerdings läuft dort noch PHP 4.3.8 und apache 1.3.29 und SafeMode ist dort nicht auf gelistet. Könnten das was sagen??:
  doc_root no value
  docref_ext no value
  docref_root no value
  bye MrMorpheus
  by PF4 » 13. December 2004 22:39
  open_basedir is die Lösung,
  alles andere is nur Spielerei
  by MrMorpheus » 14. December 2004 06:49
  thx, werd ich gleich mal ausprobieren
  open_basedir und upload
  by SPliZZ » 14. December 2004 11:16
  wollte nur noch mal kurz anfügen: Richtig: open_basedir ist die einzig zuverlässige Möglichkeit Kunden vor Kunden zu schützen. Jedoch hat dies zur Folge, dass natürlich auf /tmp - dem Upload-Standardverzeichnis - nicht zugegriffen werden kann. Damit scheitert ein copy($HTTP_POST_FILES, ...) natürlich. Abhilfe schafft hier alle copy durch move_uploded_file zu ersetzen, sofern es sich um uploads handelt. Habe ich gerade beim wünderschönen PHProjekt machen müssen, damit Dateien hochgeladen werden können.
  by PF4 » 14. December 2004 12:30
  man kann ja das upload und tmp mittels php_admin_value im vhost oder .htaccess auch ins das Benutzerverz setzen
  genauso wie open_basedir
  copy nicht beschränkt
  by SPliZZ » 14. December 2004 12:54
  Ja. Genau. Daran hatte ich gar nicht gedacht. Und zwar deshalb nicht, weil ich denke, wenn eine Programmiersprache schon so eine Funktion anbietet, benütze ich die auch, damit bin ich auf der sicheren Seite. Security-Updates mache wir ja alle?!
  Mir ist nämlich bei Deinem Vorschlag unklar, wie ich verhindere, dass z.B. Konfigdateien mit Passwörtern ausgelesen werden. Bisher hatte ich da immer untersucht, ob $_POST['filename'] zusätzlich zu dem von der Anwendung gewollten $HTTP_POST_FILES['filename'] gesetzt war. Wenn ja, hat der "Benutzer" wohl versucht eine POST-Variable mit einem falschen Wert z.B. "conifg.inc.php" mitzusenden. Eventuell führt dies dann über die Anwendung dazu, dass Dateien zugänglich gemacht werden, die geheim bleiben sollten. Liege ich da jetzt völlig falsch?