gap5
Advanced Member | Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Есть шаред хостинг (valuehost) где один и тот же юзер является владельцем файлов и процесса апача.
Разработчики Drupal везде как под копирку пишут это требование:
"The server file system should be configured so that the web server (e.g. Apache) does not have permission to edit or write the files which it then executes. That is, all of your files should be 'read only' for the Apache process, and owned with write permissions by a separate user."
Правда ссылаются они на то, что поиметь можно апач... но я больше склоняюсь к тому, что поиметь можно CMS, через модули для которых уже пару лет не выходят обновления.
Собстенно вопрос -- если через SSH\FTP для всех исполняемых файлов поставить 440 права, а в php.ini в disable_functions добавить chmod -- будет ли этого достаточно, чтобы найдя дырку в коде php какого ни будь модуля не смогли изменить исполняемые файлы или создать новые в тех же директориях? Стоит ли туда еще добавить system, exec, shell_exec? Не будет ли проблем с функциональностью?
|
