PHP school에 있는 이러한 답변에 대해서 적수님께서 찬성의
표시를 하셨습니다.
GID의 변경이 아니라 public_html 디렉토리 부분의 group 사용자를
nobody로 변경하는 것이 정답입니다.
------------------------------------------
아주 명쾌한 답이 여기있네요.
적수님께서 해결책을 제시해 주셨습니다. 저도 테스트해봤는데, 맞는 방법입니다.
요약하면 첫째, 사용자의 GID를 nobody로 바꾸고 홈디렉토리의 퍼미션을 710으로 바꿈.
둘째, php.ini에서 safe_mode를 켜놓음.
아주 간단한 방법이군요..
이 방법을 쓰면 PHP가 perl이나 기타 다른 CGI방식 등의 방법보다 우수한 언어인 것같습니다.
----------------------------------------
: PHP의 보만 문제 해결책
:
: Q. 같은 시스템에 있는 사용자들이 간단하게 소스를 살펴 볼 수 있다.
:
: A. 사용자 홈 디렉토리의 권한을 조정함으로서 해결할 수 있습니다. 물론 이는
: 관리자의 힘을 조금 빌려야 하고 관리자가 계정 생성시에 다음과 같이 먼져
: 작업을 해준다면 그렇게 많은 수고는 들지 않을 것입니다.
:
: 사용자 홈페이지 디렉토리(보통 ~/public_html)의 그룹을 nobody 로 만들고
: 접근 권한을 710으로 맞추면 됩니다.
:
: redhands 사용자의 홈페이지 디렉토리의 권한은 다음과 같이 되겠지요.
: drwx--x--- 3 redhands nobody 4096 3월 30 16:51 public_html/
:
: 이렇게 함면 쉘에서 직접 사용자 홈페이지 디렉토리에 접근하는 것을 방지
: 할 수 있습니다.
:
: Q. 위와 같이 쉘에서 접근을 차단한다 하여도 PHP 스크립트나 CGI 를 이용해서
: 상대방의 파일을 읽어 오도록 한다면 역시 nobody 권한이기 때문에 쉽게 파
: 일을 읽어 내용을 볼 수 있다.
:
: A. 역시 해결책이 있습니다. 경우를 나누어 설명을 드리겠습니다.
:
: 1. PHP의 경우
:
: PHP에서는 내부적으로 safe_mode 를 제공합니다. 이 모드를 사용하게 되
: 면 많은 제약을 가지게 되지요. exec(), system() 함수가 실행할 수 있
: 는 바이너리의 위치를 지정할 수 있습니다. 또한 include()로 불러올 수
: 있는 파일의 위치도 지정 가능하구요. safe_mode는 컴파일시 지정하거나
: /etc/httpd/php3.ini 같은 php3 설정 파일에서도 설정할 수 있습니다.
:
: 그리고 중요한 것이 소유자가 틀린 파일을 불러오는 것을 막을 수 있습
: 니다. 이럼으로써 함부로 다른 사용자의 파일을 include() 혹은 fopen()
: 등으로 가져오는 것을 막을 수 있겠지요?
:
: 그리고 실행할 수 있는 파일의 위치도 잘 설정해 주셔야 합니다. 기본값
: 은 실행이 불가능하게 되어 있는데(맞나?) cat 같이 다른 파일의 내용을
: 열어 올 수 있는 프로그램이 있는 곳으로 설정을 하게 되면 아무리 설정
: 을 해도 그냥 열어 볼 수 있습니다.
:
: system("cat /home/redhands/public_html/foobar.php3", $r); 이러면 간
: 단히 내용을 볼 수 있으니까요.
:
: 2. CGI의 경우
:
: 확실한 테스트 해보지 않았지만 아파치에서 제공되는 suexec를 사용하면
: 해결될 것이라 생각됩니다. 각 홈페이지 소유자의 권한으로 돌아가기 때
: 문에 다른 사용자의 홈페이지 디렉토리에는 접근 권한이 없을 것이고 고
: 로 파일을 열어 보지도 못하겠지요.
:
: 3. SSI의 경우
:
: 이 부분은 어떻게 동작하는지 테스트해보지 않았습니다. (사실 SSI 어케
: 하느지 까먹어서 T_T) 역시 사용을 못하게 하면 가장 간단한 것이겠지만
: 이 글을 보시는 분 중 아무나 테스트를 해보십시오. (굳이 PHP를 허가하
: 면서 SSI까지 열 필요는 없다고 생각합니다.)
:
: FollowSymlinks 옵션에는 IfOwnerMatch라는게 있는데 Include에는 있는
: 지 없는지 모르겠군요. :)
:
: 먼가 까먹은게 있는거 같은데... 암튼 문제 있는 부분은 댓글 달아 주시
: 면 감사하겠습니다. (정말 먼가 안 적은게 있는거 같은데...)