Ludwig Ruderstaller: url mit /etc/passwd : Sicherheitslücke ?!

Beitrag lesen

Das heisst also, das Problem tritt dann auf, wenn das http document root auch per ftp geservt wird. Nun, dann sollte man konsequenterweise den Webserver so konfigurieren, dass ./etc, ./bin usw. (vom doc root aus gesehen) nicht vom Webserver offeriert werden, ja nicht mal sichtbar sind. Sollte mit .htaccess kein Problem sein.

nicht ganz, das problem tritt dann auf wenn document root / ist also root des filesystems.

und derjenige der das eingerichtet hat gehört geterrt gefedert und ans seinem pimmel aufgehängt :-)

BTW. auch wenn / documentroot ist, gibt es vom apache her möglichkeiten alle "unerwünschten" verzeichnisse zu verschleiern. (ohne .htaccess in jedem verzeichniss,) geht aber leider nicht mit einzelnen files...

lg
Ludwig