CHMOD 777 bzw. 755

[Matze]

Hi zusammen,

wenn ich auf einem Server Verzeichnisrechte auf 777 setzen, kann ich wie gewünscht darin schreiben.
Nur sollte man aus Sicherheitsgründen die Rechte 777 nicht verwenden.

Die "Alternative" wäre hier doch 755 oder?

Denn dann bekomme ich immer Meldungen, dass das Verzeichnis nicht beschreibbar sei.
Mit 775 geht es ebenfalls nicht (gleiche Meldung).

Wie macht man es richtig, damit ich 777 endlich los werde?



Grüße, Matze

[RWarnecke]

Moin Matze,

ist das auf Deinem neuen Webserver ? Wenn ja, bei einem normalen WebHosting Angebot kenne ich keine andere Möglichkeit ausser die 777 um mit einer PHP-Anwendung in ein Verzeichnis zu schreiben.

[mkinzler]

Oder die Gruppe auf die des Webservers ändern, dann sollte 750 bzw. 770 reichen

[alcaeus]

Wichtig ist dass du nicht Jedem den Schreibzugriff erlaubst. Um das Problem zu loesen darfst du dir nicht nur die Rechtemaske angucken sondern auch Besitzer und Gruppe der Datei.

Also...du laedst etwas per FTP auf deinen Webspace. Das machst du mit dem Benutzer foo231, der der Gruppe foo231 angehoert. Das geht alles problemlos, nachdem du der Besitzer der Datei bist passt alles:

Code:

drwxr-xr-x    ftp231 ftp231  meine-website

Jetzt kommt der Apache welcher aus Sicherheitsgruenden mit dem Benutzer www-data ausgefuehrt wird, welcher wiederum zur Gruppe www-data gehoert. Wenn dieser schreiben will sieht Linux dass a) die Besitzer nicht uebereinstimmen, dass b) die Gruppen nicht uebereinstimmen also muss die Regel fuer "other" gelten, was das Problem ist.

Du kannst nun nach dem Hochladen einfach die Gruppe auf www-data setzen und anschliessend der Gruppe Schreibrecht geben. Das entspricht dann 775 (FTP-Befehle sehn bisserl anders aus):

Code:

chgrp -R www-data *
chmod -R g+w *

Damit sehn die Berechtigungen so aus:

Code:

drwxrwxr-x    ftp231 www-data  meine-website

Damit darf dein FTP-Benutzer als Besitzer schreiben und auch der Apache als Gruppe. Du solltest die Rechte-Aenderung (Gruppe ist ok) aber nicht pauschal zulassen sondern nur fuer die Ordner, fuer die es auch explizit benoetigt wird.
Beachte ausserdem dass dies fuer neue Dateien nicht standardmaessig greift, du wirst die Gruppe und die Berechtigungen manuell setzen muessen wenn du einen neuen Ordner oder eine neue Datei hochlaedst.

@mkinzler: 750 ist sehr ungut. Lesezugriff sollte man belassen, ansonsten wird z.B. auch die Backup-Routine des Providers danebengehn weil sie die Datei nicht lesen kann. Das ist dann weniger praktisch.

Greetz
alcaeus

[himitsu]

Ich kenn auch den Fall, wo PHP als CGI im Apache läuft
und PHP, sowie FTP im selben Benutzer laufen ... da gibt es solche Rechte-Probleme erstmal nicht.

OK, diese Problemchen sind nur andersrum, da so standardmäßig PHP und FTP die selben Rechte/Benutzer besitzen und man dieses erst abändern muß, wenn man das nicht will.

[alcaeus]

Zitat von himitsu:

OK, diese Problemchen sind nur andersrum, da so standardmäßig PHP und FTP die selben Rechte/Benutzer besitzen und man dieses erst abändern muß, wenn man das nicht will.

Es gibt keinen Grund warum
a) jedermann auf das gesamte Web-Directory schreiben sollte
b) der Apache auf das gesamte Web-Directory schreiben sollte
c) dies standardmaessig so sein sollte.

Ganz ehrlich: ein Provider bei dem das so konfiguriert ist gehoert sowieso in die Tonne geklopft. Du machst dir mit ner winzigen Sicherheitsluecke ein riesiges Scheunentor auf weil ein Angreifer sofort ohne Probleme seine Shell injizieren kann. Super, ganz toll

Greetz
alcaeus

[Matze]

Ähm öh also, nunja, ich hab's noch nicht so ganz kapiert. Aber vielen Dank für die ausführlichen Erläuterungen. Klingt schon irgendwie einleuchtend, nur an der Umsetzung hapert's.

Ich habe noch nie etwas mit Gruppen gemacht. Geht das bei jedem Hoster und wenn ja, wie? Per FTP-Client? Oder benötigt man da SSH-Zugriff o.ä.?

[mkinzler]

Jede Datei hat einen Owner und eine Gruppe. Bei den Rechten setzt du die Rechte für den Owner, die Gruppe und World.
Die Rechte für die Gruppe gelten für alle Mitglieder der Gruppe der Datei. Normalerweise gibt es für den Apache einen eigenen User und eine eigene Gruppe.

[Matze]

Ja schon, aber wo ändere ich die Gruppenzugehörigkeit eines Verzeichnisses?

[mkinzler]

chgrp <ordner>