Perché non dovrebbe / var / www avere chmod 777

Quando sviluppo una pagina su un localhost, a volte ricevo un errore "Autorizzazione negata" che posso risolvere eseguendo chmod -R 777 /var/www. Tuttavia, la gente mi sta dicendo che questa è una cattiva idea per motivi di sicurezza.

Perché non dovresti /var/wwwavere un chmod di 777?

777 è un cattivo permesso in generale e ti mostrerò perché.

Nonostante come possa apparire in un casinò o a Las Vegas, 777 non significa jackpot per te. Piuttosto, jackpot per chiunque desideri modificare i tuoi file. 777 (e il suo brutto cugino 666) consentono autorizzazioni di lettura e scrittura (e, nel caso di 777, Execute) ad altri . Puoi saperne di più su come funzionano le autorizzazioni dei file , ma in breve ci sono tre gruppi di autorizzazioni: proprietario, gruppo e altro . Impostando l'autorizzazione su 6 o 7 ( rw-o rwx) per altri, si dà a qualsiasi utente la possibilità di modificare e manipolare quei file e cartelle. In genere, come puoi immaginare, questo è dannoso per la sicurezza.

Ecco il mio esempio:

marco@desktop:~/Projects/AskUbuntu/20105$ cd ..
marco@desktop:~/Projects/AskUbuntu$ chmod 0777 20105
marco@desktop:~/Projects/AskUbuntu$ cd 20105/
marco@desktop:~/Projects/AskUbuntu/20105$ ls -lah
total 8.0K
drwxrwxrwx 2 marco marco 4.0K 2011-01-04 20:32 .
drwxr-xr-x 3 marco marco 4.0K 2011-01-04 20:32 ..
marco@desktop:~/Projects/AskUbuntu/20105$ touch test
marco@desktop:~/Projects/AskUbuntu/20105$ chmod 0666 test 

Finora ho creato una cartella e creato un file con autorizzazioni "non valide" (777 e 666). Ora passerò a un altro utente e proverò a manipolare quei file.

marco@desktop:~/Projects/AskUbuntu/20105$ sudo su - malicious
malicious@desktop:~$ cd /home/marco/Projects/AskUbuntu/20105
malicious@desktop:/home/marco/Projects/AskUbuntu/20105$ ls
test
malicious@desktop:/home/marco/Projects/AskUbuntu/20105$ ls -lah
total 8.0K
drwxrwxrwx 2 marco marco 4.0K 2011-01-04 20:33 .
drwxr-xr-x 3 marco marco 4.0K 2011-01-04 20:32 ..
-rw-rw-rw- 1 marco marco    0 2011-01-04 20:33 test
malicious@desktop:/home/marco/Projects/AskUbuntu/20105$ touch bad
malicious@desktop:/home/marco/Projects/AskUbuntu/20105$ echo "OVERWRITE" > test 
malicious@desktop:/home/marco/Projects/AskUbuntu/20105$ cat test 
OVERWRITE

Dato che questo utente "malizioso" sono stato in grado di posizionare i file nella directory e iniettare il testo in file già esistenti. Mentre di seguito, in una directory con 755 e file con 644, sono in grado di vedere i file e le directory all'interno ma non posso modificare i file né crearne di nuovi:

malicious@desktop:/home/marco/Projects/AskUbuntu/20105$ cd /home/marco/Projects
malicious@desktop:/home/marco/Projects$ touch hey
touch: cannot touch `hey': Permission denied

Per le autorizzazioni di Apache, ti consigliamo di attenersi rispettivamente a 0755 e 0644 (AKA umask 022) per cartelle e file. Ciò consente, in qualità di proprietario dei file, di modificarli e manipolarli fornendo ad Apache i minimi livelli minimi di accesso necessari per operare.

Fondamentalmente, avere le autorizzazioni di 777 non ti farà hackerare da solo, ma se qualcuno ottiene un contatto ovunque, può essere usato per intensificare le autorizzazioni e ottenere il controllo completo sul tuo computer. La parte peggiore è che le tue autorizzazioni stanno usando "7" - ciò significa che leggi, scrivi ed esegui le autorizzazioni.

Diciamo che un hacker vuole assumere il controllo del tuo computer. Potrebbe connettersi al computer tramite un browser Web, connettendosi a http://yourcomputer.example.com:80/. Se hai delle pagine disponibili che gli permettono di caricare immagini, può rinominare un eseguibile per terminare con ".jpg" e caricarlo sul tuo server. Ora cerca quel file nel suo browser Web e lo esegue, perché Linux non si preoccupa dell'estensione, vede solo che è un file eseguibile. Ciò potrebbe non ottenerlo molto, ma poiché funzionava affatto, sa che funzionava come utente apache. Quindi carica una versione modificata che modificherà i file di configurazione di Apache, concedendogli ancora più accesso - diciamo così che Apache produrrà il contenuto di / etc / passwd. Può quindi utilizzare tali informazioni per vedere quali utenti esistono nel sistema. Può quindi connettersi usando ssh e provare password comuni per accedere come quegli utenti - se non funziona, passerà all'utilizzo di un attacco a forza bruta. Se entra come utente con accesso sudo,

Ora, potresti dire che non è probabile o che non è come un vero hacker avrebbe funzionato. Questo è vero, ma il punto è che impostando i file su chmod 777, hai aperto una falla di sicurezza che un hacker può usare nel modo che ritiene opportuno.

Se invece segui il Principio del privilegio minimo , allora quel buco non si verifica e il tuo sistema è molto più difficile da hackerare. Anche se è più difficile fare le cose correttamente, dovresti comunque fare ogni sforzo per farlo.