Сайт ЦУМа «перевели» на албанский
10- 5.04.2010, 10:21
Группировка «Kosova Elite Hackers» разместила на главной странице сайта минского ЦУМа сообщение о взломе.
популярное за неделю
- 12.11 Видео из Азербайджана подогрело слухи о болезни диктатора 69,718
- 10.11 Подмосковье пылает: дроны нанесли крупнейший удар по Москве 68,188
- 12.11 Концерт российской группы «Иванушки» в Минске закончился скандалом 66,456
- 14.11 Тайный недуг: что со здоровьем Лукашенко? 59,398
- 12.11 Пресс-секретарем Трампа станет модель с белорусскими корнями? 54,042
- 15.11 Работников БЕЛАЗа начали массово задерживать из-за фирменных ботинок 54,012
- 12.11 Мария Колесникова встретилась с отцом 50,280
Мнение
Лукашенко как Черненко
Полковнику никто не пишет и даже не звонит
Позиция Марко Рубио в отношении Лукашенко может быть радикальной
Россия Путина слаба
Использование многих движков на пхп или даже того же пхпбб - залог того, что в вашем сайте сотни дыр, многие из которых давно известны и для взлома данного сайта совсем не нужно обладать какими-нить специальными навыками - достаточно скачать программку, которая все это сделает автоматически.
Ответитьнарод должен знать что многие модули данного движка требуют перманентного атрибута 777 - возможности записи в файлы
Ответитьну пожалели денеге на разработку, поставил жумалу, сейчас получили. в прицнипе закономерно
Ответитьphp, chmod 777 - это не возможность записи в файлы, это - право доступа на чтение/запись/выполнение для ВСЕХ пользователей, что само по себе грубейшая ошибка - если есть необходимость дать процессу с web-проектом (в винде это пользователь aspnet, не знаю как в unix-системах и apache) право записи в какой-то каталог - ТОЛЬКО этому пользователю и только в определенный каталог и то это зачастую нежелательно. Если архитектура joomla действительно требует chmod 777 - мне жаль не только пользователей этого движка, но и разработчиков.
Ответитьнатуральны гаспадар, архитектура джумлы требует тех прав, под каким пользователем работает апач, а апач на hoster.by работает под nobody, что и создаёт необходимость ставить права, как минимум, 766, если не вообще 777.
ОтветитьДа, для джумлы приходится ставить 777 слишком для многих каталогов и файлов, но это дань "юзерфрендли" - в джумле практически всё можно делать, кликая по кнопкам в админке.
Собственно, дав в винде пользователю aspnet права на чтение, запись и исполнение, мы получим точно такую же ситуацию: получив доступ к одному сайту, дальше ломаются и все остальные сайты на сервере, которые имеют файлы с правами чтения, записи и исполнения для пользователя aspnet.
Конечно, в юниксах можно сделать так, что бы для каждого пользователя (сайта) апач работал от имени этого пользователя, что отменяет необходимость давать nobody какие-то права на файлы. Но, как видно, работникам hoster.by на это плевать.
Ах да, если хостер.бай требуют установки chmod 777 - тогда его нужно обходить за километр. Если пользователю aspnet даются права на запись в какой-то каталог (именно каталог, а не для всего сервера), то это права только для этого пользователя и Вася Пупкин не сможет положить ни сам сайт, ни весь сервер. Chmod 777 - это права, дающие возможность _любому_ пользователю выполнять _любые_ действия над объектом с такими правами. В винде тоже можно такое сделать - т.е. это вопрос не какая на сервере платформа, а вопрос квалификации админов и web-программистов.
Ответить777 или 770, но будет интересно услышать как сделать шаред хостинг на апаче, модпхп и без доступа пользователей друг к другу. Дело в том, что все в апаче запускается от одного юзера и группы и если надо чтобы был доступ по фтп и движок писал "под себя", то и на юзера и на группу должен быть доступ. Тогда все остальные соседи по хостингу смогут писать тоже...
Ответитьmod_suphp не до конца совместим (ладно уж что в 25 раз медленнее), а jail - уже не шаред хостинг...
2Ах да
Ответитьапач на хостере работает через suexec. а это значит, php обладает правами пользователя, владеющим хостингом. там не то, что 777 не нужно, тупо 700 достаточно в 90%. у меня был хост на хостере.
Господа, а вас не удивляет тот факт, что пострадали сайты ТОЛЬКО на одном хостере? Могу вас уверить, что Джумлу используют и на других беларуских хостинговых площадках.
Ответитьнатуральны гаспадар, если у вас на винде два сайта, у каждого из которых, допустим есть каталог upload, который доступен для записи пользователю aspnet, то взломав один сайт, можно распоряжаться каталогом upload второго сайта. Именно это и произошло на хостер.бае (на сколько можно судить по общедоступной информации). И нигде никто не говорил, что 777 стоит для всего сервера (откуда вам в голову такое пришло?).
Ответить---
не правда, да что вы говорите? А вы попробуйте сделать chmod 700 на /home/%username%/public_html и полюбуйтесь на страничку с 403.
А также посмотрите, кто владелец тех файлов, которые заливаются/создаются через php. Я вам подскажу: владелец их nobody:nobody
---
mahatma, вот поэтому и встаёт выбор: сухо и комфортно, но медленно, или быстро, но каждый пользователь системы может нагнуть твой сайт, если ты случайно поставил 775, вместо 755 на public_html. Тут вопрос приоритетов, я думаю.
---
Бывалый, не удивляет. Взломали, возможно, какой-то один сайт (который мог работать как на Джумле (какой-нибудь старой версии), так и не на Джумле), а далее, имея доступ к веб-шеллу, прошлись по всем остальным сайтам, хостямщимся на этом сервере. И вполне понятно, что большинство жертв оказалось на Джумле, так как именно у неё всё наиболее печально с правами на файлы.