Ist typo3 ein Sicherheitsrisioko

Hallo,
bei der Installation von typo3 müssen ziemlich viele Verzeichnisse auf Chmod 777 gestzt werden, um die entsprechenden schreibrechte zu haben.
Ist das nicht ein enormes Risiko für die Sicherheit des Servers?
Schließlich weiß jeder, der t3 kennt, um welche Verzeichnisse es sich handelt.
Ich kennen mich damit nicht so detailliert aus, lese aber nur immer, dass man die Sicherheitsstufe so niedrig wie möglich halten sollte.
Danke für Hinweise!
Christoph

breithack schrieb

Hallo,
bei der Installation von typo3 müssen ziemlich viele Verzeichnisse auf Chmod 777 gestzt werden, um die entsprechenden schreibrechte zu haben.
Ist das nicht ein enormes Risiko für die Sicherheit des Servers?

Das stimmt so nicht!
Die 777 brauchst Du nur, wenn FTP-User und Apache-user verschieden sind. Apache läuft oftmals als "wwwrun" oder "nobody". FTP-User heissen meist so, wie Dein Anmeldename beim Provider.
Ergo: Das Problem bereiten einem oft Provider, die eine Konfig fahren, die für Typo3 nur suboptimal ist.

CU
maxhb

P.S.. Der Poll ist ein wenig sehr grob. Ja / Nein / Weiss nicht trifft es halt nicht immer 😉
In diesem Fal würde ich sagen, dass jede Applikation auf einem Server ein Risiko darstellt

hi!
suche gerade nach der lösung dass ich die verzeichnisse nicht für alle freigeben muss (chmod 777).
ich habe einen eigenen server, von daher kann ich alles hinbiegen wie es soll.
meine apache user ist der www-data
dier verzeichnisse
typo3/ext
typo3temp
typo3conf
typo3conf/ext
uploads
fileadmin
habe ich laut installhilfe zunächst alle auf chmod 777 gemacht,
nun hab ich es mit 770 versucht, schließlich gehören sie schon dem user www-data

dachte typo3 agiert als apache-user (www-data) und kann somit ja auch bei 770 auf die verzeichnisse zugreifen.
nun ist es aber bei mir so, dass nun viele funktionen im be nicht mehr in der seitenleiste sind wenn ich mich als admin anmelden (bsp. datei->images; phpmyadmin und vieles mehr).
wenn ich die rechte der verzeichnisse wieder auf 777 setze sind wieder alle dinge in der backendleiste.

ist es nicht der apache-user der typo3 ausführt?

im typo3buch von openpress steht auch was von nem ordner typo3/temp
den habe ich gar nicht.

verwende die vers 3.7.0 und linux(debian)

gruß
Markus

Normalerweise kannst Du Hinweise zu den einzelnen Usern den Logfiles entnehmen. Insbesondere, wenn Du den Apache mit der Funktion suEXEC schützt laufen Anwendungen unter anderen Rechten. Evtl. findest Du ja eine suexec.log oder so.

derSchnuffi schrieb

ist es nicht der apache-user der typo3 ausführt?

Schrieb mal ein PHP-Script mit folegnden Inhalt:

<?php
echo "UID: " . getmyuid() . " USER: " . get_current_user() . "<br>";
echo "GID: " . getmygid() . "<br>";
?>

Auf Deinem Server als users.php speichern und per browser aufrufen, dann erfährst Du, unter welchem User / welcher Gruppe Deine Scripte laufen.

CU
maxhb

danke erstmal für eure superschnelle antwort.

bei dem script kommt folgendes raus:

UID: 0 USER: root
GID: 0

hab es aber direkt auf dem server mit ssh als root erstellt macht das was?

derSchnuffi schrieb

bei dem script kommt folgendes raus:
UID: 0 USER: root
GID: 0

Hmm, mein Fehler. Das PHP-Script zeigt an, wem die Datei gehört, nicht als welcher User sie ausgeführt wird ... Man sollte das manual genau lesen 😉

Ich geh noch mal auf die Suche
maxhb

maxhb schrieb

Ich geh noch mal auf die Suche
maxhb

Und hier das Ergebnis:

<?php
echo "Angaben zur Datei:<br>";
echo "UID: " . getmyuid() . "<br>";
echo "USER: " . get_current_user() . "<br>";
echo "GID: " . getmygid() . "<br>";

echo "Ausführender User: ";
system('whoami');
?>

CU
maxhb

P.S.: Kann man unter PHP nicht herausfinden, welcher User ein Script ausführt?!

ergebnis:
Angaben zur Datei:
UID: 0
USER: root
GID: 0
Ausführender User: www-data

aber das der apache user www-data ist wusste ich ja schon.
es geht doch viel mehr draum ob typo3 auch als apache-user agiert.(so dachte ich esjedenfalls)

aber warum erscheinen dann die einträge in der sitebar des be nicht mehr wenn ich die rechte auf 770 setze, wobei www-data die verzeichnise gehören

*grumel* 😉

derSchnuffi schrieb

aber das der apache user www-data ist wusste ich ja schon.
es geht doch viel mehr draum ob typo3 auch als apache-user agiert.(so dachte ich esjedenfalls)

Wenn ich Deine Ausgabe richtig deute, dann wird Typo3 (wie alle anderen PHP-Scripte auch) als user www-data ausgeführt.

derSchnuffi schrieb

aber warum erscheinen dann die einträge in der sitebar des be nicht mehr wenn ich die rechte auf 770 setze, wobei www-data die verzeichnise gehören

Wie sehen denn die Rechte für die Dateien aus? Da sollte dann ja auch als Owner www-data eingetragen sein und eine Filemask von 770 gesetzt sein.

CU
maxhb

eigentlich hast du ja völlig recht. typo3 ist im prinzip ja auch nur ein phpscript.

die verzeichnise sehe so aus

drwxrwxrwx ... www-data www-data ... verzeichnisname

vond daher ist es ja so, dass sich für die verzeichnisse nichts ändert wenn ich sie mit chmod 770 auf

drwxrwx--- ... www-data www-data .... verzeichnisname

umstelle, da ja www-data(der typo3 ausführt) auch owner der verzeichnisse ist.

hab ich da irgendwo n denkfehler oder
was kann der grund sein warum plötzlich sahcen nciht mehr angzeigt werden???

derSchnuffi schrieb

hab ich da irgendwo n denkfehler oder
was kann der grund sein warum plötzlich sahcen nciht mehr angzeigt werden???

Was die Dateien betrifft und danach hatte ich gefragt, so liegt da evtl. ein Denkfehler vor 😉
Folgendes Beispiel:

cd /tmp
mkdir foo
chmod 777 foo
cd foo
echo "Das kann ich nicht lesen" > bar.txt
chmod 000 bar.txt
cat bar.txt

Du wirst sehen, dass Du Deine eigene Datei nicht lesen kannst...

CU
maxhb

Inzwischen bin ich schlauer:
typo3 legt Verzeichnisse und dateien als user "wwwrun" und als gruppe "nogroup" an. Das allerdins nur, wenn der Server entsprechend konfiguriert ist.
Bei meinem Provider muss ich für alle Skripte PHP als CGI ansteuern.
Dann schreibt typo3 die Dateien und Ordner als FTP user mit meinen FTP Daten.
Ich erreiche das mit einer htaccess im rrot von typo3.
Inhalt:
AddHandler php-fastcgi .php .php4

Seit ich PHP als CGI anteuere, kann ich meinen Verzeichnissen chmod 755 geben und alles funktioniert hervorragend.
Damit sind auch die Sicherheitsprobleme behoben.

Ich hoffe, ich habe mich verständlich ausgedrückt und konnte weiterhelfen.
Grüße,
CHristoph

Guten Morgen,

so ganz konnte ich den Ausführungen nicht folgen. Allerdings muss ich sagen ich bin auf dem Gebiet linux und typo3 neuling. Nun zu meinem Problem
Installiere extensionen und hatte das Problem das manche nicht liefen. Bis ich herausgefunden hatte das die mit falschen rechten belegt waren. Jetzt eine grundsätzliche frage. Kann ich in typo3 irgendwo einstellen was bei installationen von extensionen für rechte vergeben werden? Wenn ja wo? und was für rechte muss ich dann einstellen. Danke im Voraus

*g*

Typo3 ist schon relativ sicher. Und ein Webserver auch.

Aber immer nur so, wie sein Admin plan hat!

Ich will das Permissions-/User-Gehabe hier nicht breit treten, dazu gibt's genug Info's im Netz.

Wer Typo3 "sicherer" machen will, kann sich ja die Artikel auf typo3.org reinziehn. Bei unseren 1-Customer-Only-Servern ist auch grundsätzlich alles anders. Da gibt's kein www.trallala.de/typo3/ und auch kein /fileadmin/. Ein Kunde hat zusätzlich diverse gesperrte Verzeichnisse (.htaccess), die an die Typo3-Anmeldung gekoppelt sind.

Es gibt viele Wege nach Rom...

J

kannst du die genau adresse zu dem artikel aut typo3.org posten?

danke
Markus