xDSL.at

von **max_payne** » Di 04 Apr, 2006 20:30

hallo!
ich hab mir gerade ein kleines explorer-script in php geschrieben!
doch plötztlich ist es mir so auch möglich auf die gesamten daten des pcs zuzugreifen :oops:

safe mode ist aktiviert, ändern tut sich nichts...
was mach ich falsch?

von **superracer** » Di 04 Apr, 2006 20:55

was genau heißt du kannst "zugreifen" drauf?

von **max_payne** » Di 04 Apr, 2006 20:57

ich kann per php auf jede beliebige datei lesend&schreibend zugreifen(auch außerhalb des verzeichnises; dh. persönliche daten)

von **penguinforce** » Di 04 Apr, 2006 20:57

hint: suche mal nach open_base_dir...

von **superracer** » Di 04 Apr, 2006 20:58

jo, und check auch noch mal die doku fürn safe mode, der macht nämlich nur uid-basierende checks...

von **max_payne** » Di 04 Apr, 2006 21:05

jo, und check auch noch mal die doku fürn safe mode, der macht nämlich nur uid-basierende checks...

d.h. was würdet ihr mir empfehlen?

von **superracer** » Di 04 Apr, 2006 21:34

nicht auf die "security" von php oder dem restlichen system vertrauen, sondern deine eigenen security checks machen (das aber "richtig"). und _zusätzlich_ safe mode und open basedir aktivieren.

von **max_payne** » Di 04 Apr, 2006 21:46

also safe mode ist jetzt wirklich aktiviert, aber das auslesen funktioniert noch immer :'(

von **superracer** » Di 04 Apr, 2006 21:53

unter welchem system/OS? mit welchen funktionen? wie sehen die owner und permissions des php files selbst und der ausgelesenen datei aus? was sagt ein phpinfo() zum safemode?

von **max_payne** » Mi 05 Apr, 2006 05:54

verwendetes system: winxp
server: xampp
lt. phpinfo() ist der safe_mode auf on
permissions wüsst ich nicht, wie man sie auslesen könnte

von **superracer** » Mi 05 Apr, 2006 09:21

naja, ohne es jetz genau zu wissen, sag ich mal einfach so, daß unter windoof uid-basierende checks wohl nicht so gaaaanz funktionieren (wenn du auf fat32 fährst, dann gleich sowieso gar nicht) und der safemode auf der plattform somit fürn A is.

von **medice** » Mi 05 Apr, 2006 10:14

mit etwas Glück rennen httpd und somit auch php mit Systemrechten - je nachdem wie guts der Installer mit einem meint...

von **max_payne** » Mi 05 Apr, 2006 14:24

und das heißt jetzt?

von **medice** » Mi 05 Apr, 2006 15:46

dass httpd und somit php aufgrund der Systemrechte sowieso über alles drüberbrettern kann.
(und das is kein Scherz - hab auf nem XP tatsächlich einmal xampp mit systemrechten gesehen...)
System ist - wenn ich das Rechte Management richtig verstanden habe - noch nen Deut mehr als Administrator (was allein ja schon Bände über das Windows-Konzept spricht)

von **max_payne** » Mi 05 Apr, 2006 19:55

ok.
gibts jetzt noch nen lösungsvorschlag, oder soll ich mich nach was anderem umsehen?

xDSL.at

safe mode

safe mode

Wer ist online?