Shared Webspace absichern:
Ich wollte einem Kollegen Webspace geben, aber keinen Zugriff auf meine Platten. Ich habe mir direkt gedacht, dass es doch bestimmt einfach zu exploiten ist und so war es auch.
Mit einem kurzen file_get_contents konnte ich auch außerhalb von /home/maxi auf die Datei /home/geheimnis zugreifen.
Durch die prefix und chroot Einstellung in der pool config kann mir das nun nicht mehr passieren
<?php
echo("test");
$content = file_get_contents('../../geheimnis');
echo $content;
?>
Ergebnis:
test123456
nano /etc/php5/fpm/pool.d/maxi.conf prefix = /home/maxi/test chroot = $prefix Nach fix: File not found.
