VPS под Ubuntu. Настройка прав доступа?

Question

[Владимир Кудинов]

Пожалуйста, помогите разобраться!

Запустил VPS под Ubuntu. Стандартный набор софта vsftpd+Apache2+MySQL+PHP. Все хорошо, все замечательно, есть только одна проблема — по FTP могу спокойно редактировать файлы, т.к. все делается от имени пользователя, а Apache все делает под пользователем www-data и любые изменения по HTTP (загрузка или редактирование файлов) проходят только если стоит 777.

Я уже попробовал добавить пользователя www-data в группы всех пользователей и выставить 775 на файлы, но запись все равно не разрешается.

Answer 1

[sledopit]

Поставьте apache-mpm-itk и задайте необходимого пользователя для хоста через
AssignUserID user user

Comments

[Виталий Перетятько]

Однако надо заметить, что делать такое — в корне неправильно с точки зрения безопасности. Запуск вебсервера от имени пользователя — это огромная дыра. И кстати использование FTP тоже (безопаснее и удобнее использовать SFTP, и ставить для него ничего не надо, достаточно иметь ssh доступ на сервер).

[sledopit]

viperet, чем это дыра, если пользователь был создан исключительно под виртуальный хост, а сам хост ограничен через какой-нибудь open_basedir, чтобы выше корневой директории вирт.хоста подняться было нельзя?

Answer 2

[Влад Животнев]

Всё немного сложнее. С mpm-itk веб-сервер запускается от рута и все вхосты, для которых не указан AssignUserID — тоже работают от рута. Мастер процесс работающий от рута — это нормально, но вот если кому-то забыть указать UserID и этот сайт поломают — будет беда-беда.
Пользователей, фигурирующий в mpm-itk — можно правильно ограничить в системе (а по сути — этого не нужно, www-data обладает ничуть не меньшими правами — разве что у него пароля нет и /bin/sh вместо шелла).

В вашем же случае правильное решение — делать chown -R user:www-data /path/to/files и ставить 775 на те каталоги, которые нужно редактировать веб-серверу (и 755 на те, которые не нужно). При этом хорошо бы на все файлы ставить после этого 664/644.

Чтобы не делать chmod каждый раз — можно пользователю сделать основной группой www-data (usermod -g www-data user, как-то так, емнип). Но это только в том случае, если вы на сервере всё делаете в одиночестве (все пользователи смогу ходить друг к другу и править файлики, если на них 664).

Comments

[Виталий Перетятько]

Проблема в том, что если поламают сайт, работающий от пользователя — смогут попортить все файлы сайта, а если ломают сайт, работающий от www-data то писать смогут только в папку для временных файлов, в загруженные картинки и тд. А там по хорошему должно быть отключено исполнение кода, так что взлом будет иметь меньшие последствия…

[Влад Животнев]

А кто ж вас заставляет запускать сайт и класть файлы от одного и того же пользователя)?

[Виталий Перетятько]

Меня — никто. Но топикстар же именно этого хочет, ему ж «неудобно» что надо каждый раз выставлять права, чтобы PHP мог править файлы загруженные им по FTP.

[Влад Животнев]

Ну если делать правильно — то создавать user и user-www с одной дефолтной группой. umask ставить 022, запускать веб-сервер от ограниченного user-www и радоваться =)

[Виталий Перетятько]

Золотые слова! И настроить вебсервер так, чтобы он не выполнял PHP в тех папках, куда user-www имеет право писать.

[Владимир Кудинов]

Поправте меня, если я не прав, но у меня пользователь www-data был в группе каждого юзера, т.е. примерно тоже, что Вы предлагаете, но доступа почему-то не было.

[Влад Животнев]

> Поправте меня, если я не прав, но у меня пользователь www-data был в группе каждого юзера, т.е. примерно тоже, что Вы предлагаете, но доступа почему-то не было.
/etc/group и ls -la показывайте

[Владимир Кудинов]

Вот то, что касается сабжа:

www-data:x:33:
mysql:x:114:
vq2.ru:x:1000:www-data
qdinov.com:x:1001:www-data
energy174.ru:x:1002:www-data
geekstech.ru:x:1004:www-data
ftp:x:115:

[Влад Животнев]

А права на файлы при этом?

[Владимир Кудинов]

775 — не удается запись
777 — удается

[Влад Животнев]

Вы весь ls -la покажите. Помимо chmod есть ещё и chown.

[Влад Животнев]

id www-data и id geekstech.ru заодно сразу

[sledopit]

все вхосты, для которых не указан AssignUserID — тоже работают от рута.

вы в этом уверены? а не от пользователя, который указан в APACHE_RUN_USER с группой APACHE_RUN_GROUP?

если кому-то забыть указать UserID и этот сайт поломают — будет беда-беда.

а если поставить пароль 12345 руту и написать об этом на хабре (вместе с ip сервера) разрешить ssh для рута, то тоже будет «беда-беда».

Answer 3

[Владимир Кудинов]

uid=1004(geekstech.ru) gid=1004(geekstech.ru) groups=1004(geekstech.ru)
uid=33(www-data) gid=33(www-data) groups=33(www-data)

-rwxrwxr-x 1 qdinov.com root  1140 Apr  4 07:31 find_bom.php
-rwxrwxr-x 1 qdinov.com root   395 Apr  4 07:31 index.php
-rwxrwxr-x 1 qdinov.com root 19929 Apr  4 07:31 license.txt
-rwxrwxr-x 1 qdinov.com root 16501 Apr  4 07:31 readme.html
-rwxrwxr-x 1 qdinov.com root  4663 Apr  4 07:31 wp-activate.php
drwxrwxr-x 9 qdinov.com root  4096 Dec 12 20:47 wp-admin
-rwxrwxr-x 1 qdinov.com root   271 Apr  4 07:31 wp-blog-header.php
-rwxrwxr-x 1 qdinov.com root  3522 Apr  4 07:31 wp-comments-post.php
-rwxrwxr-x 1 qdinov.com root  5285 Apr  4 07:31 wp-config-sample.php
-rwxrwxr-x 1 qdinov.com root  5564 Apr  4 07:10 wp-config.php
drwxrwxr-x 7 qdinov.com root  4096 Apr  4 11:21 wp-content
-rwxrwxr-x 1 qdinov.com root  2718 Apr  4 07:31 wp-cron.php
drwxrwxr-x 9 qdinov.com root  4096 Dec 12 20:47 wp-includes
-rwxrwxr-x 1 qdinov.com root  1997 Apr  4 07:32 wp-links-opml.php
-rwxrwxr-x 1 qdinov.com root  2408 Apr  4 07:32 wp-load.php
-rwxrwxr-x 1 qdinov.com root 29310 Apr  4 07:32 wp-login.php
-rwxrwxr-x 1 qdinov.com root  7723 Apr  4 07:32 wp-mail.php
-rwxrwxr-x 1 qdinov.com root  9899 Apr  4 07:32 wp-settings.php
-rwxrwxr-x 1 qdinov.com root 18219 Apr  4 07:32 wp-signup.php
-rwxrwxr-x 1 qdinov.com root  3700 Apr  4 07:32 wp-trackback.php
-rwxrwxr-x 1 qdinov.com root  2719 Apr  4 07:32 xmlrpc.php

Comments

[Владимир Кудинов]

блин, не туда :(