Voor mijn kerkgemeente ben ik een sync. script aan maken zodat het leden bestand kan worden uitgelezen en weg geschreven naar een database.
Nu moet je voor fopen (die function gebruik ik) de rechten van de folder en file aanpassen naar ieder geval mod 775.
maar stel je weet de naam van het bestand en de folder dan zou je via de brouwser het volgende kunnen doen. www.adresvansite.nl/map/bestand.txt en je kunt alles lezen in het bestand.
Dat mag natuurlijk niet, want dit is gevoelige informatie.
Hoe kun je het dan wel openzetten voor PHP maar niet voor de buitenwereld?
Bedankt alvast voor je uitleg!
?Onbekende gebruiker
30-07-2010 14:41
John D op 30/07/2010 13:23:49
Het is wel belangrijk dat de apache deamon (het webserver proces dat in feite php uitvoert) ook rechten heeft op die map. Meestal user: apache. Je kan het in ieder geval uittesten door even alle rechten rw-rw-rw op die map te geven.
Dat de gebruiker apache is wil je liever niet bij shared hosting. Dat zou betekenen dat iedereen jou bestanden kan uitlezen (want iedereen zou apache zijn). IMHO zou de apache onder dezelfde user draaien als waarmee ingelogd wordt op ftp. Want dan is een chmod als:
John D op 30/07/2010 14:29:45
777=rwxrwxrwx (x=uitvoerbaar wil je liever niet).
666=rw-rw-rw
Helemaal niet nodig. Dan kan gewoon 600 gebruikt worden (lees en schrijven voor owner), de group zou hoogstens nog lezen mogen, dus 640, maar dat lijkt mij ook niet echt nodig dan.
In principe zou other niet je bestanden hoeven uit te lezen, of te schrijven, of execute. Dus kan die gewoon 0 blijven per definitie.
Helemaal niet nodig is een nogal algemeen oordeel, het is niet overal hetzelfde. De ene hoster is de andere niet en elke hoster vind dat zijn manier de juiste is...
Zal sterk afhankelijk zijn van de hoster. Als ik bij een van de hosters bestanden ftp naar de website met de ftp user dan ben ik een andere user dan apache en of dat de centrale apache is of een virtuele apache cq "mijn" apache weetikniet maar ik moet in ieder geval rw-rw---- op de bestanden zetten.
?Onbekende gebruiker
30-07-2010 15:11
John D op 30/07/2010 14:52:21
Helemaal niet nodig is een nogal algemeen oordeel, het is niet overal hetzelfde. De ene hoster is de andere niet en elke hoster vind dat zijn manier de juiste is...
Zal sterk afhankelijk zijn van de hoster. Als ik bij een van de hosters bestanden ftp naar de website met de ftp user dan ben ik een andere user dan apache en of dat de centrale apache is of een virtuele apache cq "mijn" apache weetikniet maar ik moet in ieder geval rw-rw---- op de bestanden zetten.
Je leest het nu waarschijnlijk als een nieuwe zin (want ik heb ook een hoofdletter geplaatst). Het is eigenlijk als doorlopen de zin bedoelt.
Dat is dus een beetje jammer dat iedere hoster het anders doet. Ik heb bijvoorbeeld wel eens een hosting gehackt, waar weliswaar apache onder de juiste gebruiker draaide (voor iedere website een aparte user), maar dat iedereen wel in dezelfde group zat (kan ik me op zich ook wel wat bij voorstellen) en alle bestanden dus met lees en schrijf rechten voor user en group (zoals bij jouw). Doordat de jail niet goed ingesteld stond kon ik gewoon bij iedereen z'n bestanden uitlezen. Dat is toch niet de bedoeling??
