Админская халатность или проникновение на LinuxForum

Хочу показать в этом видео как неправильное выставление доступа к папке может оказаться чревато для администратора и проекта в целом.

Скачать: http://multi-up.com/494813
YouTube(HD в том числе): http://www.youtube.com/watch?v=gHDMG4jdztg

Администрация форума закрыла дыру и убрала все важное для проекта.

 

критика всегда должна быть(
в этом видео ничего такого нет!
то,что ты нашёл открытые дирриктории и файлы(это каждый может)
А так за старания +1

 

Каждый может, но многие на это даже внимания не обращают. Видео еще раз доказывает, что для обеспечения безопасности сайта нужно учитывать каждую мелочь.

 

у вас на видео видно 3 хеша пользователей. Гы... ваша халатность....

 

Эту тему надо было назвать более глобально, потому что надо не только верно права выставлять.

В даном случае ета директория воше должна была быть недоступна с web.

Типичная структура таких проектов:

Code:

      quickstart
      |-- application
      |   |-- Bootstrap.php
      |   |-- configs
      |   |   `-- application.ini
      |   |-- controllers
      |   |   |-- ErrorController.php
      |   |   `-- IndexController.php
      |   |-- models
      |   `-- views
      |       |-- helpers
      |       `-- scripts
      |           |-- error
      |           |   `-- error.phtml
      |           `-- index
      |               `-- index.phtml
      |-- library
      |-- public
      |   |-- .htaccess
      |   `-- index.php
      `-- tests
          |-- application
          |   `-- bootstrap.php
          |-- library
          |   `-- bootstrap.php
          `-- phpunit.xml

Скопировал с оф. сайта ZF.

Доступна с Web должен быть только каталог public.

Все другие надо было вынести на каталог выше или сделать public DOCUMENT_ROOT.

Также стоит вспомнить приколы с cvs/svn, например.

Тоже можно отнести к халатности или неумению.

В web лезут каталоги рабочих копий в которых храниться код скриптов.

Те файли не интерпретируются и мы можем увидеть код в браузере.