Ist typo3 ein Sicherheitsrisioko

derSchnuffi schrieb

ist es nicht der apache-user der typo3 ausführt?

Schrieb mal ein PHP-Script mit folegnden Inhalt:

<?php
echo "UID: " . getmyuid() . " USER: " . get_current_user() . "<br>";
echo "GID: " . getmygid() . "<br>";
?>

Auf Deinem Server als users.php speichern und per browser aufrufen, dann erfährst Du, unter welchem User / welcher Gruppe Deine Scripte laufen.

CU
maxhb

danke erstmal für eure superschnelle antwort.

bei dem script kommt folgendes raus:

UID: 0 USER: root
GID: 0

hab es aber direkt auf dem server mit ssh als root erstellt macht das was?

derSchnuffi schrieb

bei dem script kommt folgendes raus:
UID: 0 USER: root
GID: 0

Hmm, mein Fehler. Das PHP-Script zeigt an, wem die Datei gehört, nicht als welcher User sie ausgeführt wird ... Man sollte das manual genau lesen 😉

Ich geh noch mal auf die Suche
maxhb

maxhb schrieb

Ich geh noch mal auf die Suche
maxhb

Und hier das Ergebnis:

<?php
echo "Angaben zur Datei:<br>";
echo "UID: " . getmyuid() . "<br>";
echo "USER: " . get_current_user() . "<br>";
echo "GID: " . getmygid() . "<br>";

echo "Ausführender User: ";
system('whoami');
?>

CU
maxhb

P.S.: Kann man unter PHP nicht herausfinden, welcher User ein Script ausführt?!

ergebnis:
Angaben zur Datei:
UID: 0
USER: root
GID: 0
Ausführender User: www-data

aber das der apache user www-data ist wusste ich ja schon.
es geht doch viel mehr draum ob typo3 auch als apache-user agiert.(so dachte ich esjedenfalls)

aber warum erscheinen dann die einträge in der sitebar des be nicht mehr wenn ich die rechte auf 770 setze, wobei www-data die verzeichnise gehören

*grumel* 😉

derSchnuffi schrieb

aber das der apache user www-data ist wusste ich ja schon.
es geht doch viel mehr draum ob typo3 auch als apache-user agiert.(so dachte ich esjedenfalls)

Wenn ich Deine Ausgabe richtig deute, dann wird Typo3 (wie alle anderen PHP-Scripte auch) als user www-data ausgeführt.

derSchnuffi schrieb

aber warum erscheinen dann die einträge in der sitebar des be nicht mehr wenn ich die rechte auf 770 setze, wobei www-data die verzeichnise gehören

Wie sehen denn die Rechte für die Dateien aus? Da sollte dann ja auch als Owner www-data eingetragen sein und eine Filemask von 770 gesetzt sein.

CU
maxhb

eigentlich hast du ja völlig recht. typo3 ist im prinzip ja auch nur ein phpscript.

die verzeichnise sehe so aus

drwxrwxrwx ... www-data www-data ... verzeichnisname

vond daher ist es ja so, dass sich für die verzeichnisse nichts ändert wenn ich sie mit chmod 770 auf

drwxrwx--- ... www-data www-data .... verzeichnisname

umstelle, da ja www-data(der typo3 ausführt) auch owner der verzeichnisse ist.

hab ich da irgendwo n denkfehler oder
was kann der grund sein warum plötzlich sahcen nciht mehr angzeigt werden???

derSchnuffi schrieb

hab ich da irgendwo n denkfehler oder
was kann der grund sein warum plötzlich sahcen nciht mehr angzeigt werden???

Was die Dateien betrifft und danach hatte ich gefragt, so liegt da evtl. ein Denkfehler vor 😉
Folgendes Beispiel:

cd /tmp
mkdir foo
chmod 777 foo
cd foo
echo "Das kann ich nicht lesen" > bar.txt
chmod 000 bar.txt
cat bar.txt

Du wirst sehen, dass Du Deine eigene Datei nicht lesen kannst...

CU
maxhb

Inzwischen bin ich schlauer:
typo3 legt Verzeichnisse und dateien als user "wwwrun" und als gruppe "nogroup" an. Das allerdins nur, wenn der Server entsprechend konfiguriert ist.
Bei meinem Provider muss ich für alle Skripte PHP als CGI ansteuern.
Dann schreibt typo3 die Dateien und Ordner als FTP user mit meinen FTP Daten.
Ich erreiche das mit einer htaccess im rrot von typo3.
Inhalt:
AddHandler php-fastcgi .php .php4

Seit ich PHP als CGI anteuere, kann ich meinen Verzeichnissen chmod 755 geben und alles funktioniert hervorragend.
Damit sind auch die Sicherheitsprobleme behoben.

Ich hoffe, ich habe mich verständlich ausgedrückt und konnte weiterhelfen.
Grüße,
CHristoph

Guten Morgen,

so ganz konnte ich den Ausführungen nicht folgen. Allerdings muss ich sagen ich bin auf dem Gebiet linux und typo3 neuling. Nun zu meinem Problem
Installiere extensionen und hatte das Problem das manche nicht liefen. Bis ich herausgefunden hatte das die mit falschen rechten belegt waren. Jetzt eine grundsätzliche frage. Kann ich in typo3 irgendwo einstellen was bei installationen von extensionen für rechte vergeben werden? Wenn ja wo? und was für rechte muss ich dann einstellen. Danke im Voraus

*g*

Typo3 ist schon relativ sicher. Und ein Webserver auch.

Aber immer nur so, wie sein Admin plan hat!

Ich will das Permissions-/User-Gehabe hier nicht breit treten, dazu gibt's genug Info's im Netz.

Wer Typo3 "sicherer" machen will, kann sich ja die Artikel auf typo3.org reinziehn. Bei unseren 1-Customer-Only-Servern ist auch grundsätzlich alles anders. Da gibt's kein www.trallala.de/typo3/ und auch kein /fileadmin/. Ein Kunde hat zusätzlich diverse gesperrte Verzeichnisse (.htaccess), die an die Typo3-Anmeldung gekoppelt sind.

Es gibt viele Wege nach Rom...

J

kannst du die genau adresse zu dem artikel aut typo3.org posten?

danke
Markus