文件权限和安全

Question

在我的CMS中，我有一个PHP脚本，用于打开一个.htm文件，用于写入 - fopen（'footer.htm'，'w +'）。这适用于在footer.htm上设置为666的文件权限，但如果设置为664，则不起作用。

我是否通过将公共权限设置为“写入”而让此文件受到滥用或黑客攻击？

我正在使用Apache虚拟服务器。

Answer 1

这取决于。

要修改文件，攻击者必须能够在服务器上执行某种代码，例如，有外壳访问。如果是这种情况，则许可是您最小的问题。

如果您处于共享主机环境（您不知道使用您的网络服务器的其他客户），这些其他用户可能也会更改文件，如果您的提供者没有设置其安全权限并且他们知道路径。

这只是不被认为是设置666权限的最佳做法。然而，大多数这类攻击都发生在您的网络服务器上，因此重新授权并不能解决问题，因为服务器需要具有写入权限。

所以，你可以做什么： 模式更改为664和组更改为Web服务器在运行 - 其他用户可能仍然需要通过使用Web服务器的写入权限。

你应该怎么做： 确保没有恶意代码写入该文件。如果我找到这样的代码，我很有信心找到持续的跨站点脚本漏洞。