“Chmod a + rx ~ / Documents” yapmanın güvenlik etkileri nelerdir?


0

Mac OS X Lion'daki Apache'nin sembolik bağlantılarla çalışmasını sağlamak için bu sayfadaki talimatları izlemem gerekiyordu: https://discussions.apple.com/thread/1771399?threadID=1771399

Yapmam gereken şeylerden biri yürütmek

chmod a+rx ~/Documents

Belgeler klasörümün sonuçta ortaya çıkan izni şöyle:

drwxr-xr-x+ 27 enchilada  staff    918 13 apr 11:36 Documents

Bu iyi çalışıyor. Şimdi Apache, sembolik bağlantıları düzgün bir şekilde izleyebilir. Ancak sorum şu: Bu bilmem gereken herhangi bir ciddi güvenlik tehlikesi yaratıyor mu?

Yanıtlar:


3

Sisteminizdeki herhangi bir kullanıcı hesabının verilen dizine girmesine ve etkinleştirilmişse, Konuk hesabınız da dahil olmak üzere Mac'in diğer kullanıcıları da dahil olmak üzere içeriğini listelemesine izin verir.

Veri değişikliği veya imhası ile dosyalarınızı etkilemeyecektir ve kendi başına dosyaları okumak için izin vermez. Ancak, varsayılan dosya erişim izinleri, özellikle önlemediğiniz sürece her şeyin okunmasına ve tüm kullanıcılar için dizin girilmesine izin verdiği için, bunlar okunabilir ve kopyalanabilir. (Bu aynı zamanda yeni üst düzey dizinleri bilmek de iyidir, ~varsayılan olarak OS X'deki herkese açıktır!)

Bazı programlar bir güvenlik önlemi olarak özel ayrıcalıklı kullanıcı hesapları kullanır. Bunu yaparak, muhtemelen buradaki doğal korumayı atlatırsınız.

Buggy yazılımına (masaüstü ve dizüstü bilgisayarlarda, kullanıcının altında çalışan kullanıcı yazılımı olma olasılığı çok daha fazladır) çarpmadığınız veya ana dizininizin veya dosya sisteminizin çoğunu başka yollarla paylaşmadığınız sürece, bu gerçek bir sorun olmaz.


Bu talimatlarla ilgili olarak, muhtemelen izin verilmez.

Yoldaki tüm dizinlerin örneğin ~/Documents/testçalıştırılabilir hale getirilmesi yeterlidir . Bu nedenle diğer kullanıcıların giriş dizinlerini girebilirsiniz ; Aksi takdirde ~/Sitesya da almak olmaz ~/Public.

Sadece çalıştırın chmod a+x ~/Documents(herhangi bir kullanıcı dizine girebilir) ve chmod a+rx ~/Documents/test(diğer tüm kullanıcılar Apache üzerinden erişilebilir olmasını istediğiniz gerçek dizini girip okuyabilir) ve bunun çalışıp çalışmadığını kontrol edin.


1
Aslında, kullanıcı veya grubun Apache sunucu işlemi tarafından kullanılan gruba değiştirilmesi ve uygun hakların atanması sonuçta ortaya çıkar. Ayrıca, a+rxbir dizindeki IIRC, herhangi bir kullanıcıya, alt dizinleri değil, bu dizine (x) geçiş yapma ve içerdiği dosyaların içeriğini değil, bu dizinin dosya listesini (r) okuma hakkını vermelidir . (Dosyaların ayarlanmış okuma haklarına sahip olabileceğini ve okumalarını (?)
Dizinde

1
@zpea Doğru, -Rhiçbirinin olmadığı bir yer gördüm . Cevabımı ayarlayacağım. Teşekkürler!
Daniel Beck

1
@Enchilada ACL kullanmayı deneyin. Listelenmesine izin verilmediğinden sudo -u _www ls /Users/username/Documentsbir hata mesajı görmeye _wwwçalışın /Users/username/Documents. Koş chmod +a "_www allow list,search" ~/Documentsve tekrar dene. Gerektiği kadar tekrarlayın. ls -eBu ACL'leri gösterecek, man chmoddaha ayrıntılı bir açıklama ve örnekler içeriyor.
Daniel Beck

1
@Enchilada Bu yayınlar, _wwwiç sistem hesabını söz konusu dosya ve klasörlerin sahibi yapar. Bunu yaptıysanız artık Belgeler klasörünüze erişemez veya yazamazsınız. Tavsiyem sizi sahibi tutar _wwwve klasöre ek kural koyar. Kullanarak doğrulayın ls -l ~/Documents.
Daniel Beck

1
@Enchilada Makinede, örneğin staffgrupta olacak diğer kullanıcılardan erişimi önler . Sahip ve grup bağımsızdır. En iyi eşleşme geçerlidir. Hatta "sahip olma" grubunun erişimini yasaklayabilir, ancak "başkalarının" erişimine izin verebilirsiniz, ancak bu yalnızca grup üyeliğinin yalnızca yöneticiler tarafından atanabilmesi durumunda yararlı olur.
Daniel Beck
Sitemizi kullandığınızda şunları okuyup anladığınızı kabul etmiş olursunuz: Çerez Politikası ve Gizlilik Politikası.
Licensed under cc by-sa 3.0 with attribution required.