Ubuntu Server: php-fpm запущенный от www-data и безопасность?

Question

[Тимур]

Добрый день! Хочу самостоятельно поднять боевой сервер (не из экономии а с целью разобраться).

Выделенный сервер, Ubuntu Server 13.04, связка nginx + php-fpm. На сервере будет крутиться всего один проект.

Тренируюсь на виртуалке, поднял сервер (связку nginx+php) по этой инструкции (если кратко, то все стандартно).

Nginx и PHP запускаются от пользователя и группы www-data. Домашняя директория пользователя www-data: /var/www



В /etc/passwd

www-data:x:33:33:www-data:/var/www:/bin/sh

Проблема в том, что из-под PHP scandir('/')<br> список файлов и каталогов от корня всего сервера. А это неприятно, т.к. в случае уязвимости в коде PHP всякие умники могут натворить много разных плохих вещей.

Подскажите пожалуйста, как правильно решить мою проблему и запретить пользователю выходить за пределы домашнего каталога? Или это как-то иначе решается?



P.S. Я установил linux впервые в жизни 2 недели назад, поэтому многое могу не знать. Желающих отправить в гугл без примера поискового запроса просьба проходить мимо

Answer 1

[kafeman]

После запуска приложения можно сделать chroot, тогда корнем для него будет, например, /var/www (Google подсказывает, что в php-fpm это можно задать в конфиге, и тогда он сам сделает этот вызов). Также можно настроить доступ к отдельным файлам и каталогам для группы www-data.

Comments

[Тимур]

Вот вам спасибо, плюсанул! Вроде как chroot то, что мне нужно. Сейчас установил chroot = /var/www/ и получил «No input file specified», но с этим я разберусь, это уже дело в конфиге nginx.

Также можно настроить доступ к отдельным файлам и каталогам для группы www-data.

Это как? Можно пример или ссылку?

[smartlight]

chmod -R o-r /

[kafeman]

«No input file specified» скорее всего потому, что в Nginx у вас стоит что-то вроде:

root /var/www;
location ~ \.php$ {
  ...
  fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
}

Соответственно, фактически вы пытаетесь получить /var/www/var/www/filename.php. Попробуйте убрать $document_root из пути к скрипту, поскольку корень диска для PHP теперь корень вашего сайта.

По поводу разграничения прав, я вчера немного не так написал. Имелось ввиду включение пользователя www-data в нужные группы. Погуглите как работают права на файлы в Linux, например и продолжение.

Answer 2

[Dmitrii]

Я вот тут описывал, как правильно настроить свой хостинг на своем сервере, чтобы каждый сайт работал из-под «своего» юзера.

Answer 3

[kanuhamru]

Вот идеальное, на мой взгляд решение: blog.netgusto.com/solving-web-file-permissions-pro...

Прошу прокомментировать данный способ, интересно какие минусы у него есть.