Newsgroup: it.comp.sicurezza.varie
Titolo: Consiglio per sito web.

<PRESENTAZIONE>
Salve a tutti. E' da un po' che lurko questo ng, ma non ho mai postato 
nulla. Mi chiamo Roberto, e studio al secondo anno di informatica a Verona 
(oddio, "studio" è una parola un po' grossa... ^___^).
</PRESENTAZIONE>
Ne approfitto dunque di questa occasione per chiedervi un piccolo consiglio. 
Sono webmaster di un piccolo sito, con hosting su una macchina linux. Il 
servizio di hosting offre, tra le altre cose, php e perl, e ho inserito un 
contatore in php fornito dal servizio di hosting stesso. Ora, questo 
contatore deve scrivere in un file, e nelle spiegazioni dicevano di 
inserire tale file nella directory public, che però è presente solo nelle 
macchine win2000 (almeno credo). Così ho creato questa dir public, ma il 
file non veniva generato dallo script (uscivano anzi una serie di errori). 
Allora ho dato alla directory permessi 777. Ora, mi sembra una grande 
cagata, ma così il contatore funziona. Alla fine, il server esegue codice 
solo nella directory cgi-bin, perciò io credo che questa directory non crei 
grossi problemi di sicurezza. Ma il fatto che io non riesca a pensarli non 
vuol dire che non ci siano... potreste darmi qualche suggerimento? Grazie 
1000, ciao a tutti!
Roberto
-- 
Non puoi dire quant'è profonda una pozzanghera finché non ci finisci dentro.

 Allora ho dato alla directory permessi 777.
Come non detto, ero io che ero andato in para. I permessi 777 servivano solo 
per creare il file che deve per forza avere permessi 666, per via 
dell'utente sotto il quale gira apache. Ora ho messo permessi 755 alla dir, 
e va già meglio. Ciò non toglie che comunque c'è un file che viene aperto 
da php che ha permessi 666... Ciao!


 Allora ho dato alla directory permessi 777. Ora, mi sembra una grande
Io non li metterei mai... su di un server! Ma di sicuro c'e'
chi ne sa piu' di me.. in ogni caso bisognerebbe sapere di
che server si tratta... apache?
Francesco

 da php che ha permessi 666... Ciao!
Imposta come owner di quel file l'user sotto cui gira httpd e dai permesso
in scrittura solo a lui, oppure tientelo te e cambia il gruppo dando permesso
in scrittura solo a quel gruppo (lo stesso dell'user di httpd). Dov'e' il
problema?
-- 
Saluti,
Leonardo

 Dov'e' il problema?
Non so l'user di apache. E poi il server non è mio.
Roberto
-- 
Un politico ha sempre una verità di scorta. Un buon politico ha sempre tante 
verità di scorta. Un ottimo politico ha la scorta e se ne frega delle 
verità.

 qual e' l'utente con il quale girano i processi figli.
D'accordo... ma ho accesso solo via ftp; e il server non è mio, quindi non 
posso lanciare il comando ps.
Roberto
-- 
E' difficile non desiderare la donna d'altri, dato che quelle di nessuno di 
solito sono poco attraenti.

Non so l'user di apache.
Facile. Crea una directory temporanea con un nome che sai solo tu e
creaci dentro un file qualsiasi, anche vuoto, usando PHP.
Poi, da FTP, accedi a quella directory, dai "ls -la" e vedrai:
drwxr-xr-x    2 wwwrun  daemon           0 Dec 18 21:54 prova
e saprai che Apache gira come utente "wwwrun", gruppo "daemon".
Cosa che ti serve a poco, pero', perche' il change of ownership non
credo tu lo possa fare da umile utente.
lserni@mintaka:~> touch zot
lserni@mintaka:~> la zot
-rw-r--r--    1 lserni   users           0 Jan  3 23:08 zot
lserni@mintaka:~> chown wwwrun zot
chown: changing ownership of `zot': Operation not permitted
lserni@mintaka:~> chown .daemon zot
chown: changing group of `zot': Operation not permitted
lserni@mintaka:~> rm zot
Leonardo
-- 
Questo messaggio e' NAGWARE. Per disattivare frecciatine, giochi
di parole, volgarita' gratuite ed inviti a rileggersi i messaggi
gia' passati e/o consultare 
http://groups.google.com
, effettuare
un versamento di 25 euro come tariffa di registrazione helpdesk.

 posso lanciare il comando ps.
Certo che puoi :
--------------------------- ps.php -----------------------
<?
	$s = `ps aux`;
	echo "<pre>$s</pre>";
?>
----------------------------------------------------------
<g>
-- 
Vincenzo

 credo tu lo possa fare da umile utente.
E invece si può fare, ma solo per il gruppo, che è già qualcosa... solo che 
non so se c'è il comando da ftp. Ora provo, grazie per il suggerimento!
Roberto
--
Per fare "n+1" piccoli lavori si impiega il doppio del tempo che per farne 
"n". (Sempre vero per algoritmi di complessità 2^n)