这是一个创建于 3943 天前的主题，其中的信息可能已经有所发展或是发生改变。
Ubuntu Server 的根目录，系统安装完后大部分文件与目录权限为：drwxr-xr-x
因为是任何人可读，导致 PHP 可以列出根目录并下载任何人可读的文件
有没有可能限制PHP禁止读取根目录？
因为是任何人可读，导致 PHP 可以列出根目录并下载任何人可读的文件
有没有可能限制PHP禁止读取根目录？
 |
1
lichao 2014-02-10 09:51:03 +08:00
这个应该去设置 Apache 什么的，跟 PHP 似乎没关系
|
 |
2
yangqi 2014-02-10 09:56:25 +08:00  1
php禁止读取根目录了那还怎么执行目录下的php文件?
|
|
6
yangqi 2014-02-10 10:14:32 +08:00
@andybest 默认php应该是运行在www-data之类的用户下面吧,这样的话应该是只能读取apache的www目录下的文件的
|
 |
7
andybest OP @yangqi 不是的，只要权限为：drwxr-xr-x 的PHP都可以读取，最简单的验证方法是下一个php文件管理器，在里面改变目录为/后看看
|
|
9
andybest OP @yangqi 是对一些 PHP 程序不信任，做最坏的假设比如他就是个文件管理器（木马），让它运行在我服务器上仍然可以将其权限限制在其目录中，不会造成很大影响
|
 |
10
sarices 2014-02-10 10:38:27 +08:00 2
open_basedir
|
 |
12
wzzyj8 2014-02-10 11:21:13 +08:00 1
open_basedir不够完全，单用这一个设置完全可以被绕过，网上绕过open_basedir的方法有很多。顺手应该禁用掉一些函数，比如：
http://blog.robotshell.org/2013/php-disable-functions/ http://www.cnblogs.com/chengmo/archive/2010/07/08/1773859.html 如果是apache虚拟主机的话最好是用上suExec/suPHP之类的来进行隔离。 如果是Nginx的话，可以参考这里： http://www.howtoforge.com/php-fpm-nginx-security-in-shared-hosting-environments-debian-ubuntu |
Select Language