Zugriffsschutz (Login)

[LazyLow]

Ich habe jetzt ein ziemlich bescheuerte Lösung:

Wenn ich die Datei beim ersten Mal von einem php-skript anlegen lasse, dann ist der Besitzer der Datei der Benutzer 'www-run'. Somit können Änderungen von PHP-Skripten aus gemacht werden, von der Konsole aber nur von 'root'. Die Lücke besteht jetzt aber noch darin , dass jeder der sich ein Skript schreibt, in dem ein system-Befehl ausgeführt wird, die Passwörter immer noch verändern kann. Bescheuert, aber cih lasse es jetzt so. Sind auch nicht ganz so sensible Sachen, dass man sich da 1000 Beine dafür ausreißen müsste.

[wahsaga]

Ein Benutzer kann über eine HTML-Seite Veränderungen vornehmen. Diese Anwendung läuft nur auf dem Server. Wenn ein Benutzer darauf zugreift tut er dies über einen Browser und damit ist der systemineterne Benutzer doch 'www'.

nein, zumindest nicht nach meinem verständnis...

der benutzer ruft html-seiten über den browser ab, diese werden als mit den rechten von 'www' angefordert. eine datei, auf die 'www' keine leserechte hat, kann also auch nicht über den browser angezeigt werden.

wenn das php-script jedoch läuft, dann läuft das normalerweise mit den rechten die an 'group' vergeben sind, als lokal auf dem server.

dieses php-script erzeugt dann wiederum eine ausgabe, die wieder mit den rechten von 'www' angesehen werden darf.

[LazyLow]

Was heißt eigentlich genau "außerhalb des Webdir ablegen"?
Auf meinem lokalen Server, dann ausserhalb des Apache-Bereichs?
Woran erkenne ich , wo der beginnt?

Bis jetzt liegt meine Passwortdatei nur außerhalb des Verzeichnisses, in dem meine komplette Anwendung gespeichert ist.

[LazyLow]

Also, mich lässt das Problem nicht los (auch wenn die geschützten Daten nicht extrem wichtig sind). Wäre auch beschissen, wenn jemand ein Passwort eines Users ändert, und dann später Änderungen an dessen Einstellungen vornimmt.

Ich glaube, das Problem ist, dass der Administrator (nicht root) in der selben Gruppe ist, wie die restlichen Benutzer. Dann kann man verhindern, dass jeder schreiben kann, wenn die Gruppenrechte auf Lesen beschränkt sind. Damit das Skript schreiben kann müsste die Rechte ´dann so aussehen: -rw-r--rw-. Dann könnte jedoch jeder, der nicht in der Gruppe des Administrators ist Änderungen vornehmen.

Irgendwie versteh ich das nicht. Die Lösung, die ich jetzt habe ist richtig beschissen. (das Skript ist Besitzer, dann kann niemand anderes Änderungen vornehmen)

Hat da niemand eine Idee, was ich machen könnte? Das bereitet mir schon beinahe schlaflose Nächte. Irgendwas muss da doch zu machen sein.

@wahsaga: Ich versteh nicht so ganz, wie du das meinst. Ich führe eine PHP-Datei aus, indem ich sie in den Browser lade. Sie zeigt nichts an, sondern berechnet nur etwas. Sie hat aber trotzdem einen Head und Body und besitzt eine Weiterleitung an die nachfolgende Seite. Ist das so richtig, oder läuft deswegen der Benutzer auf dem Server unter 'alle' und nicht wie du meinst lokal als Gruppe?

[LazyLow]

@wahsaga

Habe jetzt noch folgendes gefunden:

"Die CGI-Scripte laufen mit den Rechten Ihres Benutzerlogins auf dem Server, Details dazu und zur Rechtevergabe finden Sie in den Hinweisen zu CGI-Scripten. PHP-Skripte laufen mit Rechten des Webservers ("www-data") und nicht unter Ihrer Userid. Sie müssen daher eine Datei immer mit den Berechtigungen Lesen/Schreiben für alle (rw-rw-rw-, Verzeichnisse rwxrwxrwx) anlegen, wenn Sie diese mit PHP und per FTP/CGI beschreiben wollen."
(http://www.minuskel.de/support/wwwserver/rechte/)

Das bedeutet doch, dass ein PHP-Skript immer als 'www-run' (bei mir) läuft, und selbst wenn ich ein CGI-Skript schreiben würde, die Schreibrechte immer noch für alle gegeben sein müssten, damit das CGI-Skript Änderungen vornehmen kann.

[Wotan]

Schau dich mal hier um:
http://www.drweb.de/projektpflege/htaccess_6.shtml
vielleicht findest du dort was.