_wwwにはどのような権限がありますか？

Question

ユーザー '_www'が自分のOS Xサーバーに持つアクセス許可を調べようとしています。私はそれがルートアクセスを持っているかどうか、どのシステムファイルにもアクセスできるかどうか、または単にWritesの標準トップレベルWebサイトディレクトリにアクセスできるかどうかを調べる必要があります。

Answer 1

さて、あなたは_wwwのに属するグループを参照する/etc/groupで見ることができます適切に設定されたサーバー上で

$ grep _www /etc/group 
_www:*:70:_devicemgr,_teamsserver 

、専用のユーザーとしてWebサーバーを実行しているの全体のポイントは、そのユーザーの権限を制限することがあります他の場所。しかし、ファイルシステムにアクセスするWebアプリケーションコードは、サーバーのDocumentRootの外部で読み取ることができます。

_wwwが所有していないが、読み取り権限を持ちファイルの親ディレクトリで実行するファイルは、ファイルシステムを読み取っているときにアプリケーションコードがそれを保護しない場合、理論上は_wwwで読み取ることができます。同様に、他の書き込み可能なファイルシステム上のファイルは、アプリケーションコードがそれらにアクセスできるようになっている場合、Webサーバーによって変更される可能性があります。

アプリケーションは読み取りまたは書き込みのためにファイルパスを生成するために、ユーザの入力を使用していますが、同様に入力を防ぐために失敗したときに

このような問題が悪用可能です：

のようなアプリケーションでファイル名を作り出すことができる可能性が NULL byte injectionと相まってときに、 ../../../../../../../../../

/www/application/phptemplates/../../../../../../../../../../etc/passwd 

もちろん、現代のシステムでは、/etc/passwdは実際にパスワードを保存しませんが、ローカルユーザーやその他の重要な情報を潜在的な攻撃者に明らかにする可能性があります。