Как сделать что бы php/cgi скрипт работал только под своим уровнем?

[фриман]

Как сделать что бы php/cgi скрипт работал только под своим уровнем?

На хосте есть пользователи со свими каталогами. Как мне запретить доступ php/cgi скриптов, чтобы их скрипты не работали выше их уровня(чтобы не могли удалять файлы, проматривать) в общем сделать chmod 000 ?

скорее всего это с .htaccess связано, но как!?

спасибо

 

[neko]

все перепутал
rtfm suexec

 

[фриман]

Короче, как сделать так чтобы скрипт не мог получать содержимое файлов и каталогов, уровнем выше?

 

[Dimush]

фриман suexec для apache и соответвующая расстановка прав для пользовательских директорий + запуcкать apache в chroot среде.

 

[neko]

не надо запускать апач в chroot'е
он для этого не особо приспособлен

 

[Dimush]

не надо запускать апач в chroot'е
он для этого не особо приспособлен

если смотреть с этой стороны, то suexec тоже проблем добавляет ;-).
neko, как будешь инфу вне /home без chroot защищать? К тому же в действительности не вижу особых проблем использования chroot, вернее совсем их не вижу.

 

[фриман]

ах, забыл сказать я не могу конфигурить апач, сам являюсь виртуальным хостом, в том то и вся трабла, only .htaccess :]

anyway thx ;]

 

[Dimush]

фриман, обезопасить пользователей виртуального хостинга друг от друга, и сервер от пользователей, это задача администратора сервера.

 

[фриман]

Dimush

ты наврняка не правильно меня понел :]

у меня например есть дир-рия юзеров '/home/www/users'
и сами юзеры
'/home/www/users/starman'
'/home/www/users/bagiman'

мне нужно чтобы пользователь 'starman' с помощью php/cgi не мог закарабкаться к 'bugiman'.

Такое реально сделать? Ну в .httacces проверять заголовок что ли, если бы в апач.конфе шарил бы, ёлки :]

 

[neko]

если он не может конфигурить апач
то откуда у него "юзеры"?

интересное какое-то сочетание возможностей

 

[Dimush]

>если он не может конфигурить апач то откуда у него "юзеры"?
есть вероятность, что виртуальный хостинг с возможностью повестить несколько доменов/пользователей на один аккаунт, а что в действительности, судя по пути, боюсь даже представить.

фриман,

Ничего с твоей конфигурацией не понятно:
php/cgi это php(имеется в виду mod_php) и cgi, или просто php как cgi?
starman это настоящий unix пользователь или просто папка, которую ты для кого-то создал?

Если у тебя действительно есть несколько реальных unix пользователей, и php используется как cgi, то для директории нужно выставить следующее: владелец твой_пользователь, группа – пользователь_апача, chmod - 750. У владельца будут полные права, апач сможет выполнить скрипты, а соседи никакого доступа к этой директории получить не смогут.
Если у тебя ко всему прочему присутствует mod_php, то логично было бы с помощью директивы open_basedir в .htaccess органичить mod_php директорией пользователя. Но если у тебя виртуальный хостинг, то скорее всего эта директива для .htaccess запрещена.
Если реальных unix пользователей у тебя нет, то ты ничего не сможешь сделать.

И вообще, пока мы тут гадаем, что у тебя там за конфигурация такая, суппорт твоего хостинга, уже давно бы ответил, что можно, а что нельзя.

 

[фриман]

нету физических юзеров, если бы я мог создовать их, проблем бы не было.
"Starman" это просто директория, к которой я даю ftp-acc, простому смертному юзеру. Хочу чтоб он мог пользоваться php/cgi скриптами (т.е. pl,php), но немог с помощью них мне нагадить (если в друг захочет).
Хотелось бы это пофиксить как нибуть. Но только через .htaccess .. (сорри что, запутал по началу с понятием каких я имел введу "юзверей"


Хостер ничерта не помог с ответом (с немцами помоему трудновато договориться , но мне кажется что есть выход, затем и ищу выход... на этом сайте я думаю его получить, на других даже попыток небыло. Спасибо.

 

[Dimush]

мне кажется что есть выход

Как я уже говорил выше, в данных обстоятельствах, ты ничего не сможешь поделать.

 

[фриман]

Dimush спасибо.
Смотри, а если в .htaccess проверять reffer , ну проверять откуда пришел запрос? Я еще не проверял,но ...

 

[Dimush]

фриман хорошая идея. Но не получится, потому что php пофиг на настройки apache, и он с помощью readfile() легко доберется до директории защищенной c помощью .htaccess.

 

[фриман]

Автор оригинала: Dimush
фриман хорошая идея. Но не получится, потому что php пофиг на настройки apache, и он с помощью readfile() легко доберется до директории защищенной c помощью .htaccess.

Придлагаешь просто престрилится
мдаа а мне это очень нуно... ладно буду ждать, может скоро решуь на сервант встану. Спасибо Dimush за беседу.