ЧЬИМ хостингом НЕ пользоваться

Ну вот.. как я и ожидал, "а ларчик просто открывался" )

-----
Есть в мире две бесконечные вещи - это Вселенная и человеческая глупость. Но насчет первой .. я не уверен.

Эх, еще не просто.
На сервере стоит eAccelerator которому для кэширования нужна возможность чтения скрипта
Кроме того свежезагруженные скрипты не справляются с инклудом других скриптов, у которых права
rwx--x--x

Приходится на оба скрипта ( основной и инклуженный ) ставить 777, запускать, а потом уже rwx--x--x

-----
Truly yours, Sasha.

Создать для eAccelerator отдельного пользователя, от имени его запускать демона и именно этому пользователю дать права чтения.
Или же демона запускать от группы веб-сервера.

-----
Есть в мире две бесконечные вещи - это Вселенная и человеческая глупость. Но насчет первой .. я не уверен.

думаю это все не спасет... поскольку для должной защиты должно все запускаться пчерез chroot... в том числе апач... иначе любой пользователь сможет прочитать /etc/passwd (а для должной работы у него должны быть права rw-r--r-- 644... что дает возможность чтения любому пользователю и как следствие полный доступ к серверу, вряд ли все пользователи замарачиваються по поводу неподбираемых паролей... подобрав пароль имеем полный доступ к серверу, причем необязательно подобрать рута, достаточно просто залогиниться и дальше уже уязвимости позволяют получить рут привилегии...
(Добавление)
valenok а тот кадр, что с тобой общался, так и поступил, скоре всего, подобрал пароль юзера, каконо нибудь, и может спокойно гулять по папкам с правами не ниже 555, а ниже вряд ли есть где нить... как правило у всех папок права стоят 755...

(Отредактировано автором: 13 Февраля, 2009 - 10:59:38)

-----
ответы на 99% вопросов здесь

Фокус c /etc/passwd стар как мир.. не думаю, что хостер настолько не озабочен безопасностью..

-----
Есть в мире две бесконечные вещи - это Вселенная и человеческая глупость. Но насчет первой .. я не уверен.

ну так если exec("cat /etc/passwd") работакт... что тут можно сказать...

(Отредактировано автором: 13 Февраля, 2009 - 19:38:42)

-----
ответы на 99% вопросов здесь

валенок, можешь озвучить название хостинга?

я бы не стал его озвучивать... тем более если сам его использую...

-----
ответы на 99% вопросов здесь

А че whois'ом пользоваться не умеем?

А там всё равно написано 'It works' =)

-----
Truly yours, Sasha.

Где написано It works? Я вот например узнал название хостинга.

вы про http://vdscenter[dot]com/ чтоли тут?

-----
Тамбовский каджит тебе товарищ

Да, но я не хотел озвучивать.

Забавно то, что я у многих хостингов видел в phpini незапрещенный системные функции,
и мне вот не ясно, они там правильно пользователей и права раздают, или они тоже подвержены такому риску..
А тот товарищ просто через такую дырку закачал на сервер шелл скрипт и делает через него всё что ему влезет.

-----
Truly yours, Sasha.