Wiki: Dateiupload mit PHP

[TS]

Hello Julius,

Nur der User darf ändern ist ja der Fall. Aber der Script-User hieß beim Apache-PHP-Modul immer gleich für alle Shared User (z.B. www-data).

Ah, das ist dann wieder die Sache, wie PHP mit dem Webserver verknüpft wurde. Bei meinem Webhoster (Uberspace) hat jeder Account seinen eigenen PHP-Prozess, daher hatte ich das nicht auf dem Schirm. Hmm, das wird langsam echt haarig, aber irgendwie kriege ich das auch noch in dem Artikel erklärt.

Erst ab Apache 2.4 ist es unter Solaris-OS (habe immer noch nicht ausprobiert, wo es noch funktioniert) möglich, einen VHostUserzu setzen. Da sind wir der Sicherheit dann schon ein Stück näher.

... dann ist es aufgrund der Berechtigungen und des Sticky-Bits tatsächlich so, dass die Datei im /tmp-Verzeichnis nicht manipuliert werden kann, richtig?

Jedenfalls nur durch den PHP-User des virtuellen HTTP-Hosts. Wenn die Software anderswo Löcher hat (ähnlich der von Jörg zitierten GET-Lücke), dann könnten sich die Enduser der Applikationen auf dieser Domain trotzdem gegenseitig die Daten manipulieren. Bei sauberer Programmierung würde ich auch behaupten, dass es dann bezüglich PHP sicher sei. Ich weiß leider nicht, unter welchem User mit welcher Umask PHP die Tempdatei dann dort ablegt. Ich vermute mal Domainuser/Domainuser_(trw- --- ---). Dann könnten andere Applikationen in anderen Sprachen auch nicht mehr zugreifen.

Glück Auf
Tom vom Berg