tak jak w temacie.



To wiadomo ... ale, czy systemy typy Smarty beda dzialac (tworza sobie przeciez wlascilem tmp'owych plików powstalych w wyniku parsowania szablonow jest nobody, a wiadomo, ze wlascicielem "normalnych" scryptow jest przykladowy "Zdzichu".

jak to obejsc, lub jak inaczej zabezpieczyc przed

[php:1:a883a0bef5]<?php
include ("/etc/passwd")
?>[/php:1:a883a0bef5]

hmm ... chyba sam sobie klikne "pomogl mi" ;P

Polecam wszystkim http://linux.insurgents.net/pliki/szczelne_php.pdf

eee ja nie rozumiem....

Przeciez apache ma osobnego uzytkownika w systemie - ten uzytkownik ma prawo odczytu tylko tych plikow ktore chce - wiec niby jakim sposobem php potrafi ominac zabezpieczenia systemowe ? skoro dam /etc/passwd prawa dostepu np tylko rootowi to jakim cudem uzytkownik apache moze je owtorzyc ?

Yacho, do pliku passwd maja dostep wszyscy uzytkownicy systemu. Wiec user apache tez, kwestia jest taka zeby zapobiec aby klient poprzez apache dostal sie do tego pliku.

Wiec bede drazyc temat dalej - da sie jakos zabezpieczyc przed takim includem nei wlaczajac safe mode ?

Uzywam smarty a ono z safe mode nie chce dzialac :/

smarty moga dzialac z safe mode.

cytat z Smarty.class.php


[php:1:7506faf8dc]<?php

/**
* This tells Smarty whether or not to use sub dirs in the cache/ and
* templates_c/ directories. sub directories better organized, but
* may not work well with php safe mode enabled.
*
* @var boolean
*
*/
var $use_sub_dirs = false; // domyslnie true
?>[/php:1:7506faf8dc]

pozdrawiam

Z forum na Smrty.php.net ->
[php:1:e97514905e]<?php
$this->use_sub_dirs = !ini_get('safe_mode');
?>[/php:1:e97514905e]

A kto mi powie, jaki jest sens włączania SafeMode bez php w trybie cgi i czegoś w stylu suexec? Skonfigurowałem serwer tak jak w tym artykule i niby wszystko fajnie, ale poziomu php nie można tworzyć nowych plików i katalogów... bo php jako moduł chodzi z userem takim jak apache (w moim przypadku nazywa się on apache) i nie ma sposobu, żeby user apache mieszał w katalogach/ plikach innych ludziów... Ma ktoś rozwiązanie jak bezpiecznie ustawić php dla wielu ludzików? Nie interesuje mnie uruchamianie php jako cgi... ciekawym rozwiązaniem jest open_basedir, ale jest jedno ale - ta dyrektywa nie ogranicza wywołań systemowych typu system("vi etc/passwd") ... wyłączenie tych funkcji niby nie jest złe, ale co, gdy czasami trzeba którejś z nich użyć? przydało by się coś takiego jak safe_mode_exec_dir działające bez włączania safe_mode...