[請教]phpbb的檔案和目錄權限在哪能找到？ - 第2頁

some · #11 2005-04-15, 10:33 PM

小弟的意思是想表示, 目錄和檔案權限就預設值就行了, 不用太刻意~
在 linux 裡文字檔要寫入必需設 666, cgi 要執行必須將檔案設定 755

而在 window 裡不用裡會這些阿, 直接將檔案丟上去~ cgi 就能跑了
也能直接寫入文字檔, 什麼都不用理會~
所以太強調這個要把安全漏洞硬扯在一塊看的很嚴重的樣子, 似乎轉移焦點了~

some · #12 2005-04-15, 10:36 PM

引用:

作者: Ricado

引用:

作者: 哈啦

我翻了一下phpbb的檔案中，沒有發現能參考各目錄及檔案應有權限的資料，請問有人知道在哪裡能找得到嗎？

謝謝先。

哈大，vBB的問題結果怎麼樣，有沒有人幫忙回覆？

要有耐心喔.. 全球首例 VBB 的最新漏洞要過一陣子很多回報之後
可能才有修正檔喔

licheng · #13 2005-04-15, 10:38 PM

引用:

作者: some

所以太強調這個要把安全漏洞硬扯在一塊看的很嚴重的樣子, 似乎轉移焦點了~

Windows 我是不清楚，不過，在 Unix/Linux 底下，這些設定並非沒有意義。

當然，講細節，就扯遠了。

我只能說，目錄跟檔案權限的設定值，很重要。

Ricado · #14 2005-04-15, 10:45 PM

引用:

全球首例 VBB 的最新漏洞要過一陣子很多回報之後

目前得到的訊息是沒有漏洞，不知哈大得到的消息怎麼樣。

引用:

話說回來, 如果檔案目錄權限沒設好就有漏洞是這樣嗎?
那整台 window 都是漏洞, 因為 window 系統不用設

Windows還是要設啦，小弟的網路硬碟就必須將存放檔案的資料架設成允許寫入。只不過如果使用安裝檔，安裝程式會幫您設定好，如果是自行複製的資料夾的，就要手動去開。
不過有一點是比較安全的，這個資料夾的權限是設給ASPNET，這是一個系統服務帳號，所以密碼是系統自動產生，即使管理者也看不到。

檔案系統的【最基本原理】做任何事都要有權限，而這個權限是跟這帳號的。如果把一些重要的系統指令或是檔案權限設給Everyone，那就算是敞開大門讓人家偷。除非自己去改，否則以目前的技術，再爛的系統都不會有這種預設值。

some · #15 2005-04-15, 10:54 PM

了解了~

之前網站丟在公司, 從我家 ftp 上去和在自家架
都沒設過, 直接都可以寫入和執行的, 以為 window 不用設定失禮了 ^^"

Ricado · #16 2005-04-15, 10:59 PM

引用:

作者: some

了解了~

之前網站丟在公司, 從我家 ftp 上去和在自家架
都沒設過, 直接都可以寫入和執行的, 以為 window 不用設定失禮了 ^^"

這樣沒錯阿，程式本身是使用IIS的帳號在執行，所以不用設。
只是如果有檔案存取的動作再需要。

小弟之前幫某家晶圓廠寫的網路硬碟也不用，因為用了3樣技術。
1.所有檔案編碼後塞到資料庫
2.不用預設帳號連接資料庫
3.資料庫連接字串寫在登錄檔中

vincentliao · #17 2005-04-15, 11:03 PM

大家對這個問題好像很好奇,
小弟自暴短處來解釋一下.
我們分三方面來說吧...

1.mysql , apache ... 等 deamon 不可用 root 權限,
如果是這方面的問題, hosting 公司真的要打屁股了.

2.應用程式: cgi, php , forum ...等等 ...
越是出名的程式越需要 Hacking Group 來幫忙.
當您有程式要發表時如 php, phpbb 等等, 就須請 Hacking Group 來幫忙一下,
看看有無 overflow 溢位問題等等...
當有一些函數產生不可預期的結果就會造成系統的漏洞...
可是這一部分牽涉很廣...
OS 有可能, 硬體有可能, library 有可能, phpbb 程式有可能...
沒人能預知,也無重防範的...
只有勤加到支援網站申級到最新的版本...

3.個人使用習慣: 不要把上線的程式與測試的程式放在一起.
一個有規模的系統會有,
a.發展team,
b.測試team,
c.Libary Team, Support Team
互相支援與合作才有一個完整的應用系統開發出來.

如果個人好奇愛玩,將發展中的系統也掛到一旁玩的話,
會自曝系統的洞,影響到正常的系統運作...

小弟一些經驗...各位大大見笑了...

結論:
1.找一家系統常作維護的 hosting 公司很重要
2.別玩一些來路不明的系統與程式,除非您知道其中的功能優缺點
3.提供的服務是經過完整的軟體開發流程的系統,不然打死也不要拿出來.

PS: 以小弟所知... phpbb 說不上是很嚴謹的系統, 尤其有一些 Mod 更是如此...

Ricado · #18 2005-04-15, 11:16 PM

運匠大大，哪請問Linux系統的log如果不見了，大概是什麼原因？

vincentliao · #19 2005-04-15, 11:20 PM

Unix系統被入侵了...

有人使用 chown 改了使用者權限到 root
並把 /etc/log 中的資料殺了...

Ricado · #20 2005-04-15, 11:23 PM

引用:

有人使用 chown 改了使用者權限到 root
並把 /etc/log 中的資料殺了...

我說Linux也，不是Unix也，之前不是有說不需要系統帳號嗎。