ma scusate! ho un dubbio...
i permessi di accesso a files remoti devono essere settati ne server che fa la richiesta o nel server che contiene i files?!?
perchè se è la 1) allora mi sfugge qualcosa... io posso nel mio webserver accedere ai files remoti. e la siucurezza va a farsi benedire, quindi non è sicuro tenere dati sensibili in cartelle scrivibili.
se è la 2) allora dev'essere la fame che mi fa venire sti dubbi da niubbi...
ciao,
jack.
:master:
I permessi sui file andranno specificati sul server dove si trovano i file
Poi chiaramente chi vuole richiedere questi file deve poter effettuare la richiesta e non avere particolari impedimenti (vedi allow_url_fopen per fare un esempio legato al PHP).
Ma indipendentemente da questo, non è una buona cosa tenere dati sensibili in una cartella scrivibile da tutti. Anzi, probabilmente nemmeno in una cartella *leggibile* da tutti. Poi magari dipende anche da quanto sono realmente sensibili questi dati.
Tutti hanno bisogno di credere in qualcosa.
Io credo che mi farò un'altra birra.
mi riferisco proprio a allow_url_fopen...
http://it2.php.net/manual/it/wrappers.php
non ho capito... è sul server che fa la richiesta che deve essere permesso o nel server dei files...
sto impazzendo per sto dubbio
per dati sensibili mi riferisco a file php con variabili di configurazione del programma (tipo il file config di phpmyadmin capito?)
stando al link sopra sembra che il protocollo HTTP non supporti unlink() quindi questo è bene, ma cerco conferma.
Il permesso è sul filesystem del server su cui risiede il file. Per cui se qualcuno fa un chmod 000 non c'è tanto da fare: il file non è leggibile ne scrivibile ne eseguibile.
Supponendo che sia comunque leggibile, e supponendo che sia accessibile in qualche modo (ftp ad esempio), il "client" (che nel tuo caso è un secondo server, ma è ugualmente client in quanto è lui a fare una richiesta) deve essere in grado di aprire la connessione ftp, e questo discorso è regolato da allow_url_fopen.
Insomma è una configurazione che riguarda entrambi, diciamo
Tutti hanno bisogno di credere in qualcosa.
Io credo che mi farò un'altra birra.
questo ok.
confermi poi che per il protocollo http è disabilitato unlink?
se è così allora non ho problemi a mettere il file di config in una cartella 777 dato che l'attacco potrebbe venire solo da un server remoto, lo script è protetto.
più ci penso, più mi accorgo del 3ad-fagianata che ho scritto...
se sul server girano altri siti (tipo in hosting) rischi che accedano alla tua cartella[supersaibal]Originariamente inviato da mdsjack
se è così allora non ho problemi a mettere il file di config in una cartella 777 dato che l'attacco potrebbe venire solo da un server remoto[/supersaibal]
mmm... posto chedi solito le cartelle dei diversi siti sono distinte ed oltre un certo UPlink non puoi accedere, come si risolve la cosa? con un altro chmod o evitando a tutti i costi di scrivere?[supersaibal]Originariamente inviato da skidx
se sul server girano altri siti (tipo in hosting) rischi che accedano alla tua cartella [/supersaibal]
Esiste sulla carta un metodo DELETE, ma non mi risulta che venga poi implementato nella pratica, in quanto nello stesso RFC si consiglia di "sovrascriverlo" (non ricordo il termine esatto) con altre azioni.
Ma comunque mettere la configurazione in una cartella a 777 non mi pare una grande idea. Non ci sono solo gli attacchi da remoto.
Tutti hanno bisogno di credere in qualcosa.
Io credo che mi farò un'altra birra.
scrivendoci, ma non cose importanti[supersaibal]Originariamente inviato da mdsjack
come si risolve la cosa? con un altro chmod o evitando a tutti i costi di scrivere? [/supersaibal]
uff, che palle...
adesso mi tocca rifare tutta l'applicazione
usarò il metodo che uso già per chi non ha i permessi di scrittura, farò scaricare il file compilato coi dati inseriti per farlo uppare in manuale all'utente... che scasso, doveva essere una cosa facile
Permessi di invio
Rispondi quotando