🚀 go-pugleaf

Vincent Spruyt writes:

> Dominique Devriese <dominique.devriese@student.kuleuven.ac.be>
> schreef in news:873crz5ykh.fsf@appel.kotnet.org:
>> Vincent Spruyt writes:
>>
>>> Sven Vermeulen <svenPUNTJEvermeulen@rug.ac.be> schreef in
>>> news:%OYj9.130211$8o4.19177@afrodite.telenet-ops.be:
>>
>>>> On Tue, 24 Sep 2002 12:13:02 GMT, Vincent Spruyt
>>>> <info@computersecurity.be> wrote:
>>>>> sorry dat ik zo tegen mezelf praat ;-) Maar wat ik wel nog
>>>>> vreemd vind, is, dat de chmod van pine.cache op 720 staat, en
>>>>> toch kan iedereen het nog lezen...
>>>>
>>>> Misschien (hoogstwaarschijnlijk) dat Apache als UID deze van de
>>>> eigenaar van pine.cache heeft (of root, dat kan ook).
>>
>>> Wat je hier bedoeld begrijp ik niet echt, maar veilig klinkt het
>>> niet ;-)
>>
>> UNIX toegangscontrole bepaalt welke UNIX "user" toegang heeft tot
>> een bepaald bestand.  Elk programma draait als een bepaalde user.
>> Als jij inlogt, dan draait je shell als de user waarmee je inlogt.
>> Apache draait ook als een bepaalde user.  Over het algemeen heet
>> deze httpd of apache of zo, maar het kan zijn ( als je sysadmin
>> zijn vak niet kent ) dat deze als root draait.  De file-permissies
>> 720 bepalen dat de eigenaar van het bestand het bestand mag
>> uitvoeren ( ?? )

> Wel ja, 620 werkt ook ;-)

>> , lezen en schrijven, en dat de groep waarvan het eigendom is, het
>> bestand mag schrijven ( ?? ),

> Yupz die vraagtekens stelde ik me ook... (wat raar uitgedrukt maar
> soit
> ;-)
> Mijn script kan het bestand alleen maar aanmaken als de group write
> access heeft! Maw... als iemand zich bij basm registreerd heeft ie
> write access op mijn bestand, of vergis ik me? Gaat niet anders bij
> basm.

hm.. maakte jij eigenlijk geen site op www.computersecurity.be ? ;) 

sorry dat ik niet kan volgen, maar kan je ff uitleggen wat basm is ?

>> maar niet lezen en uitvoeren.  Users die niet tot die groep behoren
>> mogen niets doen met het bestand.  Waarschijnlijk is het bestand in
>> kwestie eigendom van de user apache of httpd, ofwel draai je apache
>> als root.

> Zou het niet beter zijn het script of bestand eigendom van mijn user
> te maken? Dan moet ik de group geen privileges geven... nu is dat
> wel nodig.

je bedoelt het script draaien als je eigen user ?  Lijkt me een goed
idee, waarom niet ?  Of misschien een eigen user geven "scripty",
pine.cache eigendom van die user maken, en het bestand permissies 644
geven ?

> Waarschijnlijk is het script dus eigendom van de
> group...?  Verder zou, als ik het goed begrijp, een mogelijke
> oplossing zijn het script buiten de webroot te plaatsen, maar dat is
> niet toegelaten bij BASM.

hoezo ?

>> Dat laatste zou erg dom zijn, maar je permissies staan ook vrij
>> raar, dus misschien heb je er wel wat mee zitten knoeien ?

> Heb er uiteraard mee zitten knoeien. Was ook nodig. Het bestand kan
> alleen aangemaakt (en later overschreven) worden als het aangemaakte
> bestand chmod 620 meekrijgt.  Wat ik vreemd (en misschien
> gevaarlijk?) vind is dus

> - Group moet write access krijgen als ik een bestand wil laten
>   aanmaken
> en later ook wil wijzigen.

Kort samengevat moet je script schrijfrechten hebben, en de webserver
leesrechten ?  Zo moeilijk kan dat toch niet zijn, zie hierboven..

> - Ook wanner group en other geen read permission hebben, kunnen ze
>   het bestand toch lezen.

Ah ja..  Dus je hebt net een enorm zware permissie-fout in je kernel
ontdekt ?  I think not ;)  Kan je even uitleggen hoe je tot die
conclusie komt ?
sjuus
domi

-- 
You will triumph over your enemy.