nicht angemeldet
Tach!
Nein, Joshh kann doch auf (F)CGI umstellen, dann läuft zusammen mit suEXEC das ganze unter seinem Useraccount. Und die anderen, selbst wenn sie die Modulvariante verwenden, können auf seine Dateien nicht mehr zugreifen - die richtigen Berechtigungen vorausgesetzt.
Könnte es sein, dass Du irrst?
Ja, aber in dem Fall vermutlich nicht.
Gegen die vorhanden Sicherheitslücken kann Josh leider nicht viel unternehmen. Solange die anderen User auf dem Server noch die Systemfunktionen von PHP benutzen dürfen (exec, system, usw.) kommen sie überall heran, wo der PHP-Prozess auch dran kommt, also zumindest an die Verzeichnisse der anderen PHP-User, wenn nicht sogar an Systemverzeichnisse.
Nochmal zum Mitschreiben: Wenn PHP als (F)CGI zusammen mit suEXEC verwendet wird, was bei Plesk (10) der Fall ist, läuft diese Instanz unter einer eigenen Userkennung. Andere Nutzer, auch wenn sie ihr PHP-Zeugs als Apache-Modul laufen lassen, verwenden andere Kennungen. Damit ist die Trennung mittels der Dateiberechtigungen möglich. Und an diesen kommen auch exec, system und usw. nicht vorbei.
Dass suEXEC verwendet wird, kann man unterhalb seines Benutzerverzeichnisses im Verzeichnis conf nachsehen. Dort liegen ein bis mehrere Konfigurationsdateien, die für die Konfiguration des VHosts des Benutzers zuständig sind. Die neueste ist die aktuelle.
Das ändert auch nichts, wenn Josh sich nun beschränkt und auf CGI umstellt. Dann müssten alle PHP-Verwender auf CGI umgestellt werden.
Doch bzw. nein. Ein eigener Benutzer ist ausreichend. Nicht ausreichend wäre es hingegen, wenn alle mit Apache-Modul arbeiten und einige davon unsichere Einstellungen haben.
dedlfix.