Вопрос : Perl + Unix: Передовые практики обеспеченностью upload архива

Hi каждое,

I am программник Perl ветерана, но справедливо ново к обеспеченности Unix. Я использовал модуль CGI в течение длительного времени для того чтобы отрегулировать uploads, но бедный человек реально платный много внимание к проблемам безопасности. до now.

This вопрос не общаться специфически с Unix, потребителями, группами, позволениями архива и положениями директории. Я не имею никакую проблему сделать штраф работы uploads как раз, но я интересую передовыми практиками are.

Here будут мой специфически вопрос:

- я не буду привилигированный потребителем на этом system
- Linux мои сценарии все, котор Perl побежали под потребителем «апашем» и буду членом br/>- apache'< группы 'все директории или архивы, котор я создаю созданы с предпринимателем «tom» и группа 'br/>- dev'< я не имею позволения к upload chown или chgrp
- iего всегда к директории я создавал вызванный 'терпеть неудачу Uploads br/>- uploads'< если директория «uploads» chmodded до 777 <-- ОБЕСПЕЧЕННОСТЬ RISK

Since я не могу «uploads dev chown» хотя бы позволили бы меня к «chmod что еще 774 uploads» могу, котор я сделать?

Thanks для вашей полезной консультации заранее,

Tom class=

Ответ : Perl + Unix: Передовые практики обеспеченностью upload архива

В случае, котор вы правы теперь, я сделал эти рекомендации:
- Создайте отдельно систему файлов без исполнительного атрибута. /tmp/yourfolder smogло быть достаточно. Это позаботится о факт, котор вам нужно иметь uploads быть ограниченным, поэтому отдельно системой файлов /tmp будет самая лучшая вещь, котор нужно сделать с linux в продукции. если вы не имеете то, то вы можете спросить корень для того чтобы создать архив и установить его как отдельно система файлов, с вариантом noexec. то будет работать как раз также.
  В этот случай, если пункт держателя имеется корнем и группой «апашем», то вам нужно установить эти позволения на время держателя: 2775 для архивов, и убеждают архивов на 664 с апашем: апаш как предприниматель: группа.

- Спросите корень для того чтобы создать crontab принимая эти архивы от временно скоросшивателя и апаша: позволения апаша, к окончательной директории с правильно позволениями и владением. скажите wwwdata: wwwgroup и позволения 664 для архивов и 775 для директорий. То будет достаточно для апаша, котор нужно достигнуть но снаружи письменные разрешения.

- Никогда. Никогда левая сторона архивы в вашем сервере стержня имеемом таким же потребителем бежит апаш. то почему я рекомендую создать что-то как wwwdata: wwwgroup

Понадейтесь эта помощь вы. Я имею этот вид установки побежать на очень высоком движении и очень чувствительных вебсайт без проблем.