Foros del Web » Programando para Internet » PHP »

Peligros de dar permisos inadecuados a una carpeta

Estas en el tema de Peligros de dar permisos inadecuados a una carpeta en el foro de PHP en Foros del Web. Hola compañeros, aquí os va una pregunta, quizás para algunos, chorra : imaginad que tengo en la estructura de mi web una carpeta a la ...
  #1 (permalink)  
Antiguo 09/02/2006, 10:05
Avatar de nosoynadie  
Fecha de Ingreso: noviembre-2005
Ubicación: dando vueltas por aquí
Mensajes: 206
Antigüedad: 12 años
Puntos: 1
Peligros de dar permisos inadecuados a una carpeta

Hola compañeros,

aquí os va una pregunta, quizás para algunos, chorra :

imaginad que tengo en la estructura de mi web una carpeta a la que debo darle permisos de lectura/escritura a todo el mundo (777), ¿qué me podría suceder, en cuanto a seguridad de la aplicación, al dejar esta carpeta con estos permisos? ¿Alguien la podría utilizar para colarme algo dentro? ¿Cómo? Si me dierais ideas de cómo lo podrían lograr lo agradecería

P.D si ya se ha tratado este tema en algún otro post, lo siento. Que los admins hagan lo que crean oportuno
__________________
http://www.nosoynadie.net/
  #2 (permalink)  
Antiguo 09/02/2006, 10:27
O_O
 
Fecha de Ingreso: enero-2002
Ubicación: Santiago - Chile
Mensajes: 34.417
Antigüedad: 15 años, 11 meses
Puntos: 126
Creo que el tema sería mejor tratado en foros como Linux.

De todas formas ... todo es "relativo" el tema de los permisos a como se ejecute PHP (si es como CGI o como módulo de un servidor HTTP como Apache) y también las condiciones de ese servicio .. si es "compartido" por otros sitios/usuarios o no.

Por ejemplo .. en un servicio de hosting compartido .. si usan PHP como módulo de Apache .. todos los usuarios de otros sitios (esto pasa en servicios de hosting) podrían acceder a los archivos (depende de más configuración de PHP) de tu sitio .. es decir, tu "vecino" podría acceder a tus archivos y "leerlos" .. pero si usas un permiso con "escritura a todo usuario" también los podría modificar o crear (nuevos).

El problema muchas veces es que tenemos a "PHP" creando archivos con el usuario que este use (el que usa Apache en los modos de instalación de PHP "como módulo") y a "otro" usuario que se nos dió para entrar por FTP a ese servidor y a los mismoas archivos que tal vez creó PHP o administró PHP en general. Ahí tenemos el "conflicto" de los permisos de archivos y se suele dar "permiso" a todo usuario (cuando realmente debería ser a esos "dos" sólo).

En un servidor compartido .. PHP presta la opción "Safe Mode" (Modo seguro) para evitar estos problemas de seguridad .. a costa de ser altament restricitvo:

http://www.php.net/features.safe-mode

Sin usar "Safe mode" necesariamenta .. esto en parte lo soluciona el uso de PHP como CGI (a costa de perder algo de rendimiento .. se gana en seguridad por "defecto"). En modo CGI, PHP se ejecuta con el usuario que se asigne y cada "servidor virtual" de un servicio de hosting compartido puede y de hecho debe usar uno diferente .. el mismo que se usa para conectarse por FTP y totalmente restringido a su ambito del "servidor virtual".

No sé si lié mucho el tema .. pero todo esto se basa en como un S.O. tipo *NIX (Linux, Unix .. ) gestiona los permisos de los archivos y procesos.

PD: 0777 no sólo es escritura/lectura todo el mundo sino también "ejecución".

Un saludo,
  #3 (permalink)  
Antiguo 09/02/2006, 11:36
Avatar de nosoynadie  
Fecha de Ingreso: noviembre-2005
Ubicación: dando vueltas por aquí
Mensajes: 206
Antigüedad: 12 años
Puntos: 1
Gracias Cluster,

hace dos minutos también se me encendió la bombilla y me di cuenta del peligro de los permisos 'desde dentro' del servidor.

La pregunta estaba más orientada a ejecutar ordenes 'desde el exterior' (por ejemplo abriendo un socket -no te rias si he dicho una burrada-, ejecutando un documento desde otra web, etc) pero es cierto que olvidaba 'el interior' del server.

Aún habiendo oido hablar del Safe Mode no tengo ni idea de lo que es, ahora mismo me pongo a leer sobre ello

Aún a riesgo de parecer un pelín membrillo, desde el exterior ¿qué peligros tiene el darle permisos 'de todo' a una carpeta?
__________________
http://www.nosoynadie.net/
  #4 (permalink)  
Antiguo 09/02/2006, 11:54
Avatar de nosoynadie  
Fecha de Ingreso: noviembre-2005
Ubicación: dando vueltas por aquí
Mensajes: 206
Antigüedad: 12 años
Puntos: 1
Cluster, no hagas ni caso.

Pensando un poco, eso que no suelo hacer antes de preguntar, creo saber la respuesta a mi pregunta:

siempre que intentes acceder a la máquina del servidor será a través de algún servicio que esta ofrezca. Este servicio está controlado por una aplicación, que está siendo ejecutada por un usuario, con lo que la seguridad de las acciones que se hagan a través de una petición al servidor estarán vinculadas a la de los usuarios que ejecutan los servicios.

No hay como pararse a pensar de vez en cuando
__________________
http://www.nosoynadie.net/
Atención: Estás leyendo un tema que no tiene actividad desde hace más de 6 MESES, te recomendamos abrir un Nuevo tema en lugar de responder al actual.
Respuesta




La zona horaria es GMT -6. Ahora son las 22:00.