Nginx-ru mailing list archive (nginx-ru@sysoev.ru)
[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]
Re: чтение чужих файлов: не стоит патчить
- To: nginx-ru@xxxxxxxxx
- Subject: Re: чтение чужих файлов: не стоит патчить
- From: "adept" <nginx-forum@xxxxxxxx>
- Date: Sat, 26 Nov 2011 06:10:27 -0500
- Dkim-signature: v=1; a=rsa-sha256; q=dns/txt; c=relaxed/relaxed; d=mickey.jlkhosting.com; s=x; h=Date:Sender:From:References:In-Reply-To:Message-ID:Content-Transfer-Encoding:Content-Type:Subject:To; bh=Z5NSQ2VRw2Qn3qrwwhazh6ffqDjUUVOtNekJCDpnw6w=; b=vEBXLpIXGkGr4hq+iHtl/ywF5L6YP+E4CbHamR77l+uX4TZGarIs3mnv0B16Vbk0yxNPns5YjnorumvvuFGQkW2WUd1JHa8nD4CtJA1xjBRnLKTjGB1veFWADnfJQoOY;
- In-reply-to: <413943734.20111126172804@xxxxxx>
- References: <413943734.20111126172804@xxxxxx>
Pavel V. Wrote:
-------------------------------------------------------
> Nginx - один из немногих путей.
> В разбираемой ситуации их,
> собственно, всего "два":
> - Веб-сервер nginx, запущенный
> от имени пользователя,
> имеющего право чтения
> "всех" файлов, в т.ч. и по
> симлинку.
> - Веб-сервер apache и его
> модули, в т.ч. mod-php, также
> запущенный от имени
> пользователя,
> имеющего право чтения
> "всех" файлов, в т.ч. и по
> симлинку.
--
> С уважением,
> Pavel
> mailto:pavel2000@xxxxxx
Собственно, не только nginx и apache, еще mysql,
но там это закрывается добавлением
local-infile=0 в my.cnf
В апаче - mpm-itk, да, он даст прочитать
тот-же passwd, но читать скрипты соседей не
даст.
А вот nginx, даст, при соответствующих
правах на файл >=644, кои ставят почти все
панели на заливаемые файлы.
В теме ниже, выкладывал патч для nginx'a,
который закрывает эту возможность, но
патч для версии 0.5.3 и на более свежие
версии он не встанет. Буду рад помощи с
допилом)
Posted at Nginx Forum:
http://forum.nginx.org/read.php?21,219081,219098#msg-219098
_______________________________________________
nginx-ru mailing list
nginx-ru@xxxxxxxxx
http://mailman.nginx.org/mailman/listinfo/nginx-ru
|
