Cuestión : Perl + Unix: Mejores prácticas de la seguridad de la carga por teletratamiento del archivo

Hola cada uno,

I un programador del Perl del veterano, pero bastante nuevo a la seguridad de Unix. He estado utilizando el módulo del cgi durante mucho tiempo para manejar cargas por teletratamiento, pero no he prestado realmente mucha atención a los problemas de seguridad. hasta ahora. repartos de la pregunta del

This específicamente con Unix, los usuarios, los grupos, los permisos del archivo y las localizaciones del directorio. No tengo ningún problema el hacer de la multa del trabajo de las cargas por teletratamiento apenas, sino que me estoy preguntando cuál son mi pregunta las mejores prácticas are.

Here específica: el

- no soy un usuario privilegiado en este system
- del linux mis escrituras todas del Perl funcionadas con debajo del usuario “apache” y soy un miembro Br/>- del apache'< del grupo el 'ninguna directorios o los archivos que me creo se crean con el dueño “tom” y grupo 'el Br/>- del dev'< no tengo permisos a la carga por teletratamiento del chown o del chgrp
- I siempre a un directorio he creado 'fall llamado de las cargas por teletratamiento del Br/>- del uploads'< a menos que el directorio de las “cargas por teletratamiento” chmodded a 777 <-- ¿SEGURIDAD RISK

Since no puedo “las cargas por teletratamiento del revelador del chown” que por lo menos no me prohibirían al “chmod 774 cargas por teletratamiento” qué más puede yo hacer?

Thanks para su consejo provechoso por adelantado,

Tom class= del

Respuesta : Perl + Unix: Mejores prácticas de la seguridad de la carga por teletratamiento del archivo

En el caso que usted está ahora, yo haría estas recomendaciones:
- Crear un sistema de ficheros separado sin la cualidad ejecutable. /tmp/yourfolder podía ser bastante. Esto tomará el cuidado del hecho que usted necesita hacer cargas por teletratamiento limitar, así que un sistema de ficheros separado de /tmp es la mejor cosa a hacer con un linux en la producción. si usted no tiene eso, usted puede pedir la raíz para crear un archivo y para montarlo como sistema de ficheros separado, con la opción del noexec. eso trabajará del mismo modo que.
  En este caso, si el punto de montaje es poseído por la raíz y el grupo “apache”, usted necesita fijar estos permisos en el tiempo del montaje: 2775 para los archivos, y aseguran archivos están en 664 con apache: apache como el dueño: grupo.

- Pedir la raíz para crear un crontab que toma estos archivos de la carpeta y del apache temporales: permisos de apache, al directorio final con los permisos y la propiedad correctos. decir el wwwdata: wwwgroup y permisos 664 para los archivos y 775 para los directorios. Ése será bastante para que apache tenga acceso pero fuera permisos de escritura.

- Nunca. Nunca izquierda los archivos en su web server poseído por el mismo usuario que está funcionando apache. ése es porqué recomiendo crear algo como wwwdata: wwwgroup

Esperar esta ayuda usted. Tengo esta clase de disposición el funcionar en el tráfico muy alto y los Web site muy sensibles sin problemas.