Сайт ЦУМа «перевели» на албанский

Использование многих движков на пхп или даже того же пхпбб - залог того, что в вашем сайте сотни дыр, многие из которых давно известны и для взлома данного сайта совсем не нужно обладать какими-нить специальными навыками - достаточно скачать программку, которая все это сделает автоматически.

народ должен знать что многие модули данного движка требуют перманентного атрибута 777 - возможности записи в файлы

ну пожалели денеге на разработку, поставил жумалу, сейчас получили. в прицнипе закономерно

php, chmod 777 - это не возможность записи в файлы, это - право доступа на чтение/запись/выполнение для ВСЕХ пользователей, что само по себе грубейшая ошибка - если есть необходимость дать процессу с web-проектом (в винде это пользователь aspnet, не знаю как в unix-системах и apache) право записи в какой-то каталог - ТОЛЬКО этому пользователю и только в определенный каталог и то это зачастую нежелательно. Если архитектура joomla действительно требует chmod 777 - мне жаль не только пользователей этого движка, но и разработчиков.

натуральны гаспадар, архитектура джумлы требует тех прав, под каким пользователем работает апач, а апач на hoster.by работает под nobody, что и создаёт необходимость ставить права, как минимум, 766, если не вообще 777.
Да, для джумлы приходится ставить 777 слишком для многих каталогов и файлов, но это дань "юзерфрендли" - в джумле практически всё можно делать, кликая по кнопкам в админке.

Собственно, дав в винде пользователю aspnet права на чтение, запись и исполнение, мы получим точно такую же ситуацию: получив доступ к одному сайту, дальше ломаются и все остальные сайты на сервере, которые имеют файлы с правами чтения, записи и исполнения для пользователя aspnet.

Конечно, в юниксах можно сделать так, что бы для каждого пользователя (сайта) апач работал от имени этого пользователя, что отменяет необходимость давать nobody какие-то права на файлы. Но, как видно, работникам hoster.by на это плевать.

Ах да, если хостер.бай требуют установки chmod 777 - тогда его нужно обходить за километр. Если пользователю aspnet даются права на запись в какой-то каталог (именно каталог, а не для всего сервера), то это права только для этого пользователя и Вася Пупкин не сможет положить ни сам сайт, ни весь сервер. Chmod 777 - это права, дающие возможность _любому_ пользователю выполнять _любые_ действия над объектом с такими правами. В винде тоже можно такое сделать - т.е. это вопрос не какая на сервере платформа, а вопрос квалификации админов и web-программистов.

777 или 770, но будет интересно услышать как сделать шаред хостинг на апаче, модпхп и без доступа пользователей друг к другу. Дело в том, что все в апаче запускается от одного юзера и группы и если надо чтобы был доступ по фтп и движок писал "под себя", то и на юзера и на группу должен быть доступ. Тогда все остальные соседи по хостингу смогут писать тоже...

mod_suphp не до конца совместим (ладно уж что в 25 раз медленнее), а jail - уже не шаред хостинг...

2Ах да

апач на хостере работает через suexec. а это значит, php обладает правами пользователя, владеющим хостингом. там не то, что 777 не нужно, тупо 700 достаточно в 90%. у меня был хост на хостере.

Господа, а вас не удивляет тот факт, что пострадали сайты ТОЛЬКО на одном хостере? Могу вас уверить, что Джумлу используют и на других беларуских хостинговых площадках.

натуральны гаспадар, если у вас на винде два сайта, у каждого из которых, допустим есть каталог upload, который доступен для записи пользователю aspnet, то взломав один сайт, можно распоряжаться каталогом upload второго сайта. Именно это и произошло на хостер.бае (на сколько можно судить по общедоступной информации). И нигде никто не говорил, что 777 стоит для всего сервера (откуда вам в голову такое пришло?).
---

не правда, да что вы говорите? А вы попробуйте сделать chmod 700 на /home/%username%/public_html и полюбуйтесь на страничку с 403.
А также посмотрите, кто владелец тех файлов, которые заливаются/создаются через php. Я вам подскажу: владелец их nobody:nobody
---

mahatma, вот поэтому и встаёт выбор: сухо и комфортно, но медленно, или быстро, но каждый пользователь системы может нагнуть твой сайт, если ты случайно поставил 775, вместо 755 на public_html. Тут вопрос приоритетов, я думаю.
---

Бывалый, не удивляет. Взломали, возможно, какой-то один сайт (который мог работать как на Джумле (какой-нибудь старой версии), так и не на Джумле), а далее, имея доступ к веб-шеллу, прошлись по всем остальным сайтам, хостямщимся на этом сервере. И вполне понятно, что большинство жертв оказалось на Джумле, так как именно у неё всё наиболее печально с правами на файлы.