1. Главная
  2. Ch

Ch: Комментарии

Главные вкладки

5 апреля 2014 в 19:25

"sg85" wrote:
из приложения можно так же выполнить абсолютно любую shell команду, и что дальше?

Дальше надо нужно настраивать приложение так, чтобы настройки сервера не влияли на безопасность приложения.

5 апреля 2014 в 18:14

"sg85" wrote:
а вот и хрен, за это отвечает ОС ориентируясь на umask, а далее их можно поменять на любые, но не всегда для этого есть доступ
В каком дистрибутиве файлы получают chmod = 600 по умолчанию? Дефолтную маску можно менять из приложения (см. umask). Некоторые фреймворки так и делают, либо как друпал вызывают chmod после создания файла. Поэтому за права доступа к файлу отвечает именно приложение.

3 апреля 2014 в 7:37

"sg85" wrote:
права на все файлы в папке /tmp 0600

А почему именно 0600 ? Права на файлы могут быть абсолютно любые, за это отвечает приложение, которое их создает. Друпал по умолчанию ставит 0664, см drupal_chmod. Да и не спасет 600, если владельцем файла является допустим www-data. Сама директория /tmp в линукс системах обычно имеет 1777.

2 апреля 2014 в 21:24

"sg85" wrote:
это от настроек сервера зависит, если сервер настраивал не школьник, то проблем с приватностью быть не должно(есть множество различных средств контрацепции),

Если сервер настраивал не школьник, то /tmp дожна быть доступна для чтения и записи всем пользователям. От этого зависит работоспособность приложений в системе. Поэтому за пробемы с приватностью временных файлов отвечает разработчик.

1 апреля 2014 в 11:35

/tmp это системная директория, доступная для чтения и записи всем пользователям системы. На шаред хостинге это означает, что любой аккаунт будет иметь доступ к вашим временным файлам. Среди этих файлов вполне могут оказаться приватные данные, например дамп базы данных сделанный модулем Backup and Migrate. Поэтому files/tmp вполне адекватный вариант.

29 января 2014 в 11:34

Кстати, насчет повозится. Есть такой хук hook_username_alter, который поможет решить проблему глобально для всего сайта.

А еще есть модуль https://drupal.org/project/realname

25 декабря 2013 в 12:58

Для пользователя с ИД = 1, эти права не работают. Попробуйте добавить роль админа другому аккаунту.
Либо отключайте админ меню программно, с помощью admin_menu_suppress().

6 декабря 2013 в 15:30

Во первых вместо module_invoke_all достаточно drupal_alter.
Во вторых hook_page_alter в вашем случае достаточно. Если вы не можете найти через неё свои данные, значит что сделали неправильно до этого.