Pytanie : Perl + Unix: Kartoteka upload ochrona najlepsza praktyka

Cześć Ochrona,

I am weteran Perl programista, ale całkiem nowy Unix ochrona. I używać the CGI moduł przez długi czas uploads, ale biedak naprawdę płacić dużo uwaga the sprawa bezpieczeństwa. until now.

This pytanie rozdawać specyficznie z Unix, użytkownik, grupa, kartoteka pozwolenie i adresowy lokacja. I mieć żadny problem uploads praca właśnie grzywna, ale I zastanawiać się praca the najlepsza praktyka are.

Here być mój odmianowy pytanie:

- I być uprzywilejowany użytkownik na ten Linux system
- Mój Perl pismo wszystkie bieg pod użytkownik "apasz" i być członek grupowy 'apache'< br/>- Jakaś książka telefoniczna lub kartoteka I tworzyć tworzyć z właściciel "tom" i grupa 'dev'< br/>- I mieć pozwolenie chown lub chgrp
- I zawsze upload książka telefoniczna I tworzyć nazwany 'uploads'< br/>- Uploads fail jeśli "uploads" książka telefoniczna chmodded 777 <-- OCHRONA RISK

Since I móc "chown dev uploads" che przynajmniej pozwolić "chmod 774 uploads" jaki inny móc I?

Thanks dla twój pomocniczo rada w postęp,

Tom

Odpowiedź : Perl + Unix: Kartoteka upload ochrona najlepsza praktyka

W the skrzynka ty być teraz, I zrobić te rekomendacja:
- Tworzyć oddzielny kartoteka system bez the wykonywalny atrybut. /tmp/yourfolder móc dosyć. Potrzebować brać opieka the fact ty potrzebować uploads ograniczać, więc oddzielny /tmp filesystem być the najlepszy rzecz z Linux w produkcja. jeżeli ty mieć mieć, ty móc korzeń kartoteka i ono jako oddzielny filesystem, z the noexec opcja. to pracować na szczęście.
  W tym wypadku, jeżeli the góra punkt posiadać korzeń i the grupowy "apasz", ty potrzebować te pozwolenie przy góra czas: 2775 dla the kartoteka, i gwarantować kartoteka być przy 664 z apasz: apasz jako the właściciel: grupa.

- Pytać korzeń crontab te kartoteka od the chwilowy falcówka i apasz: apasz pozwolenie, the definitywny książka telefoniczna z the poprawny pozwolenie i posiadanie. mówić wwwdata: wwwgroup i pozwolenie 664 dla kartoteka i 775 dla książka telefoniczna. Pozwolenie być dosyć dla apasz ale pozwolenie.

- Nigdy. Nigdy lewica the kartoteka w twój serwer WWW posiadać the ten sam użytkownik który być działający apasz. wwwdata być dlaczego I polecać wwwdata jak wwwdata: wwwgroup

Mieć Nadzieję ten pomoc ty. I mieć problem jakby bieg przy bardzo wysoki ruch drogowy i bardzo wyczulony strona internetowa bez problem.