UWAGA sklep ŹLE ZABEZPIECZONY chmod 777

Poruszałem kiedyś już ten temat na starym forum KQS, niestety mój temat na następny dzień został usunięty bez wyjaśnień. Przedstawiłem również autorowi oprogramowania sposób w jaki można włamać się do sklepu wykorzystując otwarte dla wszystkich katalogi, niestety do dziś nikt z programistów KQS tego nie naprawił.

Chodzi o nadawanie uprawnień dla galerii 777, które oznaczają, że przy standardowej konfiguracji serwera http każdy może zrobić w katalogu wszystko, zazwyczaj wiele hostingów jednak zabezpiecza się przed takimi działaniami. Takie praktyki są nie mile widziane i w każdej sytuacji wnoszą mniejsze lub większe niebezpieczeństwo. Tutaj ktoś fajnie porównał to do zamkniętego garażu i pozostawianiu kluczyków w aucie: Odnośnik widoczny tylko dla zalogowanych użytkowników - Zarejestruj się

Moim zdaniem to rozwiązanie jest bardzo ZŁE, nawet jeśli mamy 100% zaufanie do naszego hostingu to i tak mała dziura w systemie operacyjnym na serwerze i już ktoś może z naszymi danymi robić co mu się podoba. W przypadku gorzej zabezpieczonych (tańszych) serwerów wystarczy mieć wykupiony hosting w tym samym miejscu i możemy już wgrać np skrypt, który zrobi ładnie rm -rf i sklepik leży.

W marcu tego roku pofatygowałem się też, aby zadzwonić do nazwa.pl i zapytałem jak u nich wygląda z bezpieczeństwem przy chmod 777, powiedzieli, że to bardzo nie bezpieczne, każdy może wgrać lub skasować co chce, ale nazwa.pl ogólnie jest jakaś taka dziurawa - ostatnio podejrzałem wszystkie nazwy baz danych PostreSQL - dyskwalifikacja hostingu!

Jak się bronić przed niedociągnięciami aplikacji KQS? Polecam wejść do siebie na serwer przez ftp i spróbować zmienić chmod galerii na 755, a następnie za pomocą skryptu wgrać jakiś obrazek (np dodając nowy produkt), jeżeli obrazek się doda poprawnie i potem będzie go widać w sklepie to warto zostawić ustawienia na 755, a nawet trzeba zostawić 755, bo to oznacza, że na Twoim serwerze na 99% nie ma żadnych zabezpieczeń na katalogi 777.

Ciekawe kolejny bubel oprogramowania,

dostaniemy wyjaśnienia od autora ? czy przerodzi się to w kolejną bez owocną dyskusję lub polemikę i łapanie się za słówka.

Przepraszam bardzo, ale co przeszkadza zmienić chmod.
Ja osobiście używam bardziej restrykcyjnego chmod 711 na /galerie.
Jak pamiętam chmod 777 jest potrzebny przy instalacji/aktualizacji i nigdzie nie jest napisane, że tak ma pozostać. To zadanie administratora, aby zadbać o bezpieczeństwo swojego serwisu.

Dobrze napisany skrypt sam by zabezpieczył katalogi i posprzątał po sobie, a jeżeli nie miał praw dostępu to powinien przynajmniej poinformować usera, że należy to zrobić! Dla niektórych osób instalujących sklepy samo sformułowanie "chmod" wywołuje wrzenie krwi.

Btw 711 też jest dobrym rozwiązaniem, jednak stawiam, że na większości hostingów nie zadziała, ale warto sprawdzić:)

Popieram zdanie zsedc.

zmienilem chmod "galerie" na 711 i u mnie dziala hosting linuxpl