ПРОЕКТЫ 


  АРХИВ 


Apache-Talk @lexa.ru 

Inet-Admins @info.east.ru 

Filmscanners @halftone.co.uk 

Security-alerts @yandex-team.ru 

nginx-ru @sysoev.ru 


  СТАТЬИ 


  ПЕРСОНАЛЬНОЕ 


  ПРОГРАММЫ 



ПИШИТЕ
ПИСЬМА












     АРХИВ :: nginx-ru
Nginx-ru mailing list archive (nginx-ru@sysoev.ru)

[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]

Re: Аналог htaccess



On 22.09.2011 12:34, Андрей Василишин wrote:

Используйте связку nginx+apache. Статику по возможности отдавайте
нжинксом, все остальное проксируйте на апач. Получите приемлемую
скорость работы и поддержку htaccess-ов.

а также в качестве бонуса:

возможность любому пользователю хостинга скачать с сервера любой файл,
к которому имеет доступ на чтение nginx (в том числе и файл config.php
с паролями и настройками любого другого пользователя этого же хостинга)

Расскажите как, если все кроме картинок будет проксироваться на апач?

на POSIX-совместимых операционных системах вот таким способом:

чужой файл, к которому есть доступ только у user1 и nginx:

/home/user1/example.com/htdocs/config.php

"взломщик" сервера user2 создает у себя симлинк:

/home/user2/example.org/htdocs/config.jpg

который указывает на /home/user1/example.com/htdocs/config.php

после чего - он у себя на локальной мащине запускает команду

wget http://example.org/config.jpg

и получает копию файла config.php чужого сайта example.com
к которому у него нет прямого доступа через ssh или ftp.

если операционная система на сервере не является POSIX-совместимой,
например, у нее нет поддержки симлинков, то этой уязвимости не будет.

решение проблемы:

- или отдельный OpenVZ контейнер каждому пользователю хостинга

- или отдельный nginx каждому пользователю под его учетной записью

- или написать аналог mod_aclr для второго апача и работать через него

--
Best regards,
 Gena

_______________________________________________
nginx-ru mailing list
nginx-ru@xxxxxxxxx
http://mailman.nginx.org/mailman/listinfo/nginx-ru


 




Copyright © Lexa Software, 1996-2009.