Chmod + Mod rewrite per aumentaare la sicurezza

[MicheleWT]

Ho avuto alcune complicazioni nel tentare di evitare che un utente esterno riesca ad avere informazioni sui file e sulla struttura del sito.

data la struttura

/index.php
/paginefisiche.php
/immagini/
/immagini/1.jpg
/immagini/2.jpg
/immagini/3.jpg
/directorydownloads/
/directorydownloads/1.tar.gz
/directorydownloads/2.tar.gz
/directorydownloads/3.tar.gz

vorrei produrre i seguenti effetti:
1) Io vorrei evitare che si possa chiamare un file php, visto che ogni pagina è sottoposta a url rewrite per puntare a una pagina html con url migliore.

2) Vorrei evitare che puntando a www.miosito.com/immagini/ mi arrivi la lista delle immagini, come puntando a www.miosito.com/directorydownloads/ ottenga la lista dei file.

3) Vorrei anche impedire il link diretto http://www.miosito.com/immagini/1.jpg non tanto per hotlinks o cose del genere, cosa che so fare, ma per evitare che un utente, puntando il browser a http://www.miosito.com/immagini/1.jpg scarichi il file.

vorrei magari far puntare tutti e tre i tipi di richieste, i php, la lista cartelle, i file singoli, alla homepage.html.

ho provato tra chmod e mod rewrite però poi accade che non riesco a concludere gli include negli scripts, oppure non visualizzo le immagini. insomma voglio bloccare le risorse a terzi, finisco per bloccarmele da solo.

un aiutino? please

[gianiaz]

Se pur non conosco le regole che hai già pensato, se dici che funzionano basta che tu metta un allow per l'indirizzo ip della macchina su cui gira lo script.

[MicheleWT]

non ho capito una parola?

una allow dove?

le regole di modifica degli url funzionano bene nel senso che una pagina php la faccio puntare a una html.

il punto che quando provo a bloccare l'accesso alle risorse di cui sopra, mi blocco le risorse agli script. quindi non riesco a fare include dei file php, le immagini mi spariscono, ecc.

[gianiaz]

Prova con questo: http://www.htaccesseditor.com/

In pratica si tratta di usare una regola per dire di vietare l'accesso ad un tipo di file, e di permettere l'accesso alla stessa risorsa da un particolare ip.

ciao

[MicheleWT]

mmmm, ma con chmod è più "forte" la cosa?

i tre parametri non servono a questo? 777 (owner-group-user).
e come lo infilo l'ip? devo mettere mano ad ogni htaccess per configurare l'ip per ogni sito?

[gianiaz]

il chmod è a livello di sistema, e lo script gira sempre con lo stesso utente (quello con cui gira l'apache)

Quindi se a un file dai il chmod in modo che nn lo legga apache non lo leggerai mai via web.

Non sono un grande esperto di htaccess, in genere vado a tentativi :-)

Prova questo

<Files *.jpg>
allow from 127.0.0.1
deny from all 
</Files>

Per i file php non so se crea casini negarne l'accesso, se funziona per le jpg, puoi provare se va anche per il php.

[MicheleWT]

io vorrei dare via chmod il permesso ad apache di eseguire i file, mentre evitare l'accesso alle carte e efile da utenti esterni

[gianiaz]

via chmod non si può.

Devi operare tramite gli strumenti di apache, configurando il vhost oppure tramite l'htaccess.

ciao

[MicheleWT]

scusa se te lo chiedo. ne sei sicuro?

[MicheleWT]

ho trovato e inserito questo in .htaccess per bloccare la lista file, e funziona bene:

Options All -Indexes

però mi rimanda a 404, invece vorrei non perdere la visita ma rimandare a homepage.html

un punto è quasi fatto, ma puntando a un singolo file .jpg scarico l'immagine, questo non è bene.

grazie lo stesso gianaz.