Wann sollte ich „Apache: Apache“ oder „niemand: niemand“ auf meiner Web-Server-Dateien?

Question

Hintergrund: ich bei meinem alten Ort der Beschäftigung erinnern, wie der Admin Web-Server würde immer mir die httpd zugängliche Datei-Upload-Verzeichnisse ändern, so dass sie von Apache gehalten werden: Apache oder niemand: niemand .

Er sagte, dies aus Gründen der Sicherheit ist.

Frage: Können Sie mir sagen, was die Auswirkungen auf die Sicherheit dieser spezifisch waren? Auch gibt es eine Möglichkeit Apache zu erhalten, wie niemand zu laufen: niemand, und gibt es Auswirkungen auf die Sicherheit, dass auch

TIA

Answer 1

Es gibt einen triftigen Grund, unter der Annahme die httpd (Apache) wurde im Besitz von Root und gehört zu der Gruppe Wurzel auch, und dass es eine Sicherheitslücke war, die in dem Code selbst, zum Beispiel ein böswilliger Benutzer aufgefordert, eine URL gefunden wurde das ist mehr als erwartet und die httpd seg-bemängelt. Nun, die der Zugriff Root-Exploit aufgedeckt hat, was bedeutet, es Kontrolle über das System hat und somit einen böswilligen Benutzer würde letztlich Kontrolle ergreifen und schafft Chaos auf dem Feld.

Das ist ein Grund, warum der Besitz des httpd-Daemon unter niemandem läuft: niemand oder Apache: Apache. Es ist tatsächlich eine vorbeugende Maßnahme, um sicherzustellen, dass kein Exploit / Verwundbarkeit wird Root-Zugriff aussetzen. Stellen Sie sich die Auswirkungen auf die Sicherheit, wenn das war zu geschehen.

Zum Glück, jetzt, abhängig von der Linux-Distribution, BSD-Varianten (OpenBSD / FreeBSD / NetBSD) oder die kommerziellen Unix-Varianten, der httpd-Daemon läuft unter einer Benutzergruppe, die am wenigsten Privilegien besitzt. Und außerdem wäre es sicher zu sagen, dass eine Menge des Codes Apache gut genug und stabil getestet wurde. Über 49% der Server in allen Domänen laufen Apache. Microsofts IIS läuft bei 29% des Domains. Dies ist nach der die Netcraft-Umfrage Website hier .

In einem anderen Zusammenhang, es zeigt, dass unter dest Privilegien ein Programm mit Laufe würde als ‚sicher‘ und mildert alle möglichen Chancen von Exploits, Schwachstellen.

Answer 2

Das ist der falsche Ort für diese Frage. Normalerweise würden Sie nicht wollen, dass der Quellcode von demselben Benutzer wie Apache besessen werden. Sollte eine Sicherheitslücke in Apache oder Ihren serverseitigen Skripts auftritt, kann ein Angreifer in böswilliger Absicht Ihrer Website der Dateien ohne privilege escalation ändern könnte.

Die einzige Ausnahme wäre Datei-Upload-Verzeichnisse, wie Sie gesagt haben. In diesem Fall möchten Sie Apache Änderungen an diesem Verzeichnis machen.