🚀 go-pugleaf

Toen ik Pugi! kietelde, kwam er dit uit:

> Vraag : is dit geen security-risico dat iedereen dan
> in die directory kan?

Als je dat niet weet, dan is het uiteraard *wel* een risico.

(Nee, dat is niet geen risco.)

-- 
Affijn, Ruud   `  -  ?
               + ` ? *
                 ? `
               ?  =  `

In nl.comp.programmeren Pugi! <genezever.pugilator@genezever-yahoo.com> wrote:
> Het is me uiteindelijk gelukt om een bestand up te loaden via een formulier
> in PHP.
[...]
> Of bied het voldoende bescherming om een index.html bestand in die map te
> zetten of indexen uit te zetten voor die map ?

Dus de directory waar de files worden geupload zijn direct bereikbaar?
In het geval van een positief antwoord is dat inderdaad een potentieel
risico. Wat immers als iemand een php file upload! Je zult dus moeten
filteren of files indirect aanbieden.

-- 

  Daniel Tryba

"Pugi!" <genezever.pugilator@genezever-yahoo.com> schreef in bericht
news:40855b17$0$41747$5fc3050@dreader2.news.tiscali.nl...
> Het is me uiteindelijk gelukt om een bestand up te loaden via een
formulier
> in PHP.
> De laatste hindernis die moest genomen worden, was permission denied om
file
> te copi�ren van tmp directory naar de gewenste directory.
> Door chmod 777 : maw iedereen lezen schrijven en uitvoeren in die
directory.
>
> Vraag : is dit geen security-risico dat iedereen dan in die directory kan
?
> Het lukt me in elk geval niet om vanuit browser te ftp'en naar die
> directory, maar ik ben dan ook geen hacker en heb geen ambities in die
> richting.
> Kan iemand vanop een andere server bestanden copi�ren naar die directory
op
> mijn website ?
> Of kun je vanuit PHP permissies wijzigen bestand copy'en en permissies
terug
> wijzigen.
> Of bied het voldoende bescherming om een index.html bestand in die map te
> zetten of indexen uit te zetten voor die map ?
> Of maak ik me zorgen om niks ?
>

Wat betreft security security moet je je altijd zorgen maken op het web!

Nu is permission denied in /tmp toch wel vreemd, daar mag normaal gezien
iedereen zijn tijdelijke rommel in achterlaten;
Of  is de standaard temp directory op jouw systeem misschien /var/tmp ?

-- 

MaG

"MaG" <nomail@nowhere.com> schreef in bericht
news:Zgghc.835$Nm1.243782683@hebe.telenet-ops.be...
>
> "Pugi!" <genezever.pugilator@genezever-yahoo.com> schreef in bericht
> news:40855b17$0$41747$5fc3050@dreader2.news.tiscali.nl...
> > Het is me uiteindelijk gelukt om een bestand up te loaden via een
> formulier
> > in PHP.
> > De laatste hindernis die moest genomen worden, was permission denied om
> file
> > te copi�ren van tmp directory naar de gewenste directory.
> > Door chmod 777 : maw iedereen lezen schrijven en uitvoeren in die
> directory.
> >
> > Vraag : is dit geen security-risico dat iedereen dan in die directory
kan
> ?
> > Het lukt me in elk geval niet om vanuit browser te ftp'en naar die
> > directory, maar ik ben dan ook geen hacker en heb geen ambities in die
> > richting.
> > Kan iemand vanop een andere server bestanden copi�ren naar die directory
> op
> > mijn website ?
> > Of kun je vanuit PHP permissies wijzigen bestand copy'en en permissies
> terug
> > wijzigen.
> > Of bied het voldoende bescherming om een index.html bestand in die map
te
> > zetten of indexen uit te zetten voor die map ?
> > Of maak ik me zorgen om niks ?
> >
>
> Wat betreft security security moet je je altijd zorgen maken op het web!
>
> Nu is permission denied in /tmp toch wel vreemd, daar mag normaal gezien
> iedereen zijn tijdelijke rommel in achterlaten;
> Of  is de standaard temp directory op jouw systeem misschien /var/tmp ?
>
> --
>
> MaG
>
>

Permission denied wanneer ik het bestand vanuit de tmp dir copy naar de
gewenste dir, dus niet om iets in de temp te zetten..
Het gebeurt niet op mijn systeem maar bij webhost.

Pugi!

Toen ik Philip kietelde, kwam er dit uit:
> Dr.Ruud:

>> (Nee, dat is niet geen risico.)
>                    ^^^^
>
> Dus toch?  :-)

De vraag was: "Is het geen-risico?" Mijn antwoord was:
"Je vraagt het, dus dan is het niet geen-risico.".

-- 
Affijn, Ruud   `  -  �
               + ` � *
                 � `
               �  =  `

"EM" <andreemma@yahoo.co.uk> schreef in bericht
news:40862d10$0$41747$5fc3050@dreader2.news.tiscali.nl...
>
> "MaG" <nomail@nowhere.com> schreef in bericht
> news:Zgghc.835$Nm1.243782683@hebe.telenet-ops.be...
> >
> > "Pugi!" <genezever.pugilator@genezever-yahoo.com> schreef in bericht
> > news:40855b17$0$41747$5fc3050@dreader2.news.tiscali.nl...
> > > Het is me uiteindelijk gelukt om een bestand up te loaden via een
> > formulier
> > > in PHP.
> > > De laatste hindernis die moest genomen worden, was permission denied
om
> > file
> > > te copi�ren van tmp directory naar de gewenste directory.
> > > Door chmod 777 : maw iedereen lezen schrijven en uitvoeren in die
> > directory.
> > >
> > > Vraag : is dit geen security-risico dat iedereen dan in die directory
> kan
> > ?
> > > Het lukt me in elk geval niet om vanuit browser te ftp'en naar die
> > > directory, maar ik ben dan ook geen hacker en heb geen ambities in die
> > > richting.
> > > Kan iemand vanop een andere server bestanden copi�ren naar die
directory
> > op
> > > mijn website ?
> > > Of kun je vanuit PHP permissies wijzigen bestand copy'en en permissies
> > terug
> > > wijzigen.
> > > Of bied het voldoende bescherming om een index.html bestand in die map
> te
> > > zetten of indexen uit te zetten voor die map ?
> > > Of maak ik me zorgen om niks ?
> > >
> >
> > Wat betreft security security moet je je altijd zorgen maken op het web!
> >
> > Nu is permission denied in /tmp toch wel vreemd, daar mag normaal gezien
> > iedereen zijn tijdelijke rommel in achterlaten;
> > Of  is de standaard temp directory op jouw systeem misschien /var/tmp ?
> >
> > --
> >
> > MaG
> >
> >
>
> Permission denied wanneer ik het bestand vanuit de tmp dir copy naar de
> gewenste dir, dus niet om iets in de temp te zetten..
> Het gebeurt niet op mijn systeem maar bij webhost.
>
> Pugi!
>

Da's al wat  duidelijker. Ik veronderstel dat de copy dan ook met PHP
uitgevoerd wordt.
Op de webhost zal het PHP process als een bepaalde user draaien. Die
gewenste dir is veronderstel ik die van jou dus
jouw userid en die zal wel niet gelijk zijn, vandaar de permission denied.
Met 777 zet je natuurlijk alles open en bestaat er
idd een kans dat iemand anders daar misbruik van gaat maken. Maar dat hangt
voor een groot deel af van hoe alles
bij de webhost geregeld is. Heeft die niet ergens een FAQ of help staan.
Meestal leggen ze wel uit wat mag en niet mag,
wat er kan en niet kan.

MaG