当我应该使用“阿帕奇：阿帕奇”或“没人：没有人”在我的Web服务器的文件吗？

Question

背景：我记得我的老地方就业Web服务器管理员会怎么总让我改变的httpd访问的文件上传目录，使它们由阿帕奇拥有的：Apache或人：没有人

他说，这是出于安全考虑。

问：你能告诉我具体是什么人的这种安全隐患？也就是有办法让阿帕奇为无人运行：？没有人，以及是否有针对安全隐患，以及

TIA

Answer 1

有是一个有效的原因，假设的httpd（Apache）的是由超级用户拥有和属于该组的根也和，有这是在代码本身中发现一个漏洞，例如，恶意用户所请求的URL这比预期的长和httpd的SEG-故障。现在，利用已发现根访问，这意味着，它具有在所述系统和控制，因此恶意用户将最终抓住控制和包装盒上造成严重破坏。

这就是为什么httpd守护进程的所有权下运行，没有人的理由：没有人或阿帕奇：阿帕奇。这实际上是要确保没有漏洞/弱点将暴露的根访问权限的预防措施。试想一下，安全隐患，如果这是发生。

幸运的是，现在，这取决于Linux发行版，BSD变体（OpenBSD的/ FreeBSD的/ NetBSD的）或商业Unix变体，httpd守护进程具有至少权限的用户组下运行。而且，它可以安全地说，很多的Apache代码得到了很好的检验不够稳定。约49％在所有领域的服务器都运行Apache。微软的IIS运行在域的29％。这是根据Netcraft的调查网站这里。

在另一种情况下，它表明，具有下至少特权运行的程序将被视为“安全”的，并减轻漏洞的任何可能的机会，vulnerabilites。

Answer 2

这是错误的网站这个问题。通常你会的不的想要的源代码，由同一个用户像Apache所拥有。如果在Apache或服务器端脚本安全漏洞出现时，攻击者可能恶意修改您的网站的文件，而无需权限提升。

在一个例外是上传文件的目录，如你所说。在这种情况下，你希望Apache将更改到该目录。