网站安全:网站被挂木马与777权限的奥妙。

某天VIP大讲堂微信群里的一位同学说网站被人挂马了,查了半天也查不到原因。艺龙SEO负责人刘明问了一句“是不是技术把linux系统里网站的核心目录设置777文件权限了”,同学查后发现果然如此。那么,777是什么?老虎机吗?爱偷懒的程序员都该会心一笑,省事大法啊。这简单的数字背后代表了一套伟大的文件权限控制思想。院长赶紧请刘明长叙一篇,让我们随着刘明的解释慢慢理解。

一、当用户访问一个网页

这个时候,你的服务器内部发生了什么,请参考下图。其中任何一个环节有漏洞,都会出问题。注意,本图片只代表个人理解,并非真实流程。

网站安全:网站被挂木马与777权限的奥妙。

二、文件的权限只有三种

查询一下linux的标准文档,就知道。文件分为,读、写、执行三种权限。

r Read 可以打开并读取内容。

w Write 可以修改内容,增加内容,甚至删除内容。

x Execute 可以当做可执行程序,或者shell脚本执行。

特别注意,对于目录来说,x表示可以浏览他里头都有什么文件。


三、文件权限针对的是三类用户。

owner 文件所有者,或者说是创建了这个文件的人。

group 文件所在的组,一个组可以包含很多个owner,但不一定包含当前文件这个owner。

other 其他人,也就是除了当前这个owner,除了当前这个group外的所有人。


四、实际是什么样子的。

linux中所有文件都需要记录这3种权限和3种人群。3x3=9,再加上一个标记表示“这是不是一个目录”,一共10个标记。如图所示,

网站安全:网站被挂木马与777权限的奥妙。

这12行表示12个文件,都是一个叫sin的人创建都,而且sin的分组是staff。


五、详细解释一下。

我们从前到后逐一说一遍。写着子母(drwx)的,表示有这个权限。写着横线(-)的,表示没有这个权限。

drwxrwxrwx

1: 这是不是一个文件夹。d表示是,-表示否。(如果写的是l,可以理解为他是快捷方式)

2:owner是否可以读取这个文件的内容。r表示是,-表示否。

3:owner是否可以改写这个文件的内容。w表示是,-表示否。

4: owner是否可以执行这个文件。x表示是,-表示否

5:group是否可以读取这个文件的内容。r表示是,-表示否。

6: group是否可以改写这个文件的内容。w表示是,-表示否。

7: group是否可以执行这个文件。x表示是,-表示否。

8: other是否可以读取这个文件的内容。r表示是,-表示否。

9:other是否可以改写这个文件的内容。w表示是,-表示否。

10:other是否可以执行这个文件。x表示是,-表示否。


六、怎么用数字方便的表示文件权限。

因为10个位置中,第1个不是权限,我们就只看后边9个位置。

如何把这个权限转化成数字呢?rwxrw-r--

owner group other

符号 r w x r w - r - -

二进制1 1 1 1 1 0 1 0 0

相加之和 7 6 4

111 = 2^2 + 2^1 + 2^0 = 7

110 = 2^2 + 2^1 =6

100 = 2^2 = 4

所以rwxrw-r--就变成了:764

七、常用的权限数字

常用更改文件权限的命令,xxx代表文件名

600 只有owner有读和写的权限

644 owner有读和写的权限,group只有读的权限

700 只有ower有读和写以及执行的权限

666 owner,group,other都有读和写的权限

777 owner,group,other都有读和写以及执行的权限


八、终于讲到正题了

讲了这么说,你应该明白777的意思就是,任何人可以干任何事。那等于什么权限都没设啊!linux再安全也架不住自己人刻意制造漏洞吧。这完全等同于把钢铁侠屁股上的材料换成了窗户纸。

linux的安全原则是最小权限原则,能不给的权限就不要给。而很多懒惰或者新手的程序员往往为了省事使用最大权限。

有的人问,网站需要上传图片,需要w很正常,否则图片放哪呢。那我想问,你家的房子,是不是可以随便挪动?冰箱能挪动,承重墙能挪的动吗?请注意,客厅,卧室,厕所,厨房的空间都是rw的,但是承重墙只能是r的,不能随便w。

同理,网站核心代码是不可写的,只能可读。

学会了权限的基本支持,怎么运用呢?(只能说大概意思,具体应该怎么部署,还是找专业都运维同学问吧,我好久没碰web了。)

假设我把核心代码放在/var/www/,我把图片放在/var/pic/。前者目录rw,里头所有文件r。后者本身w,里头所有文件r

webserver只能解析/var/www/里的文件,不能执行/var/pic/里的。这样不至于让人家把木马程序放到/var/pic/里执行。

由于每个网站使用的语言都不一样,无法做一个统一说明,只能举几个例子。假如你的网站使用php语言,植入的木马基本也都是php语言写的命令。

可以分别试试这两个命令,因为php木马常用eval和create_function来做坏事(说/var/www/路径不存在的同学,面壁思过10分钟)。

grep \"eval(\" /var/www/* -r

grep \"create_function(\" /var/www/* -r

请注意,并不是没有用777权限,就万无一失了,web的漏洞多如牛毛,无孔不入,本文章只是抛砖引玉。

本文来自投稿,不代表重蔚自留地立场,如若转载,请注明出处https://www.cwhello.com/46156.html

如有侵犯您的合法权益请发邮件951076433@qq.com联系删除

(0)
优化家优化家订阅用户
上一篇 2022年7月3日 00:03
下一篇 2022年7月3日 00:03

相关推荐

  • 为什么蓝色会成为UI设计中最常用的色彩。

    你可能已经猜到这篇文章是关于蓝色的。毫无疑问,蓝色是UI设计中最重要的颜色,也是使用范围最广、最常用的色彩。在你的手机当中,许多APP都采用了蓝色的LOGO,而它们的UI也大多也将蓝色作为主色调,Facebook、Twit…

    2022年7月4日 建站资讯
    0126
  • 网站建设时404页面设计的技巧。

    一个网站的建设对于站长来说,尤其是一些新手站长,在设计上需要注意很多细节。这些细节可以改善用户的体验。当然,开始建网站需要了解什么?404页是什么?很多站长在设计的时候往往会忽略404页面,但是我们在设计4…

    2022年9月10日
    042
  • 网站设计都具备哪些优势。

    现在,一个网站有一个好的设计是非常重要的。只要用独特的风格吸引用户的眼球,就能带来最重要的基础和第一批流量。所以,你花时间和精力在网站设计上是非常重要的。那么,优秀的企业网站设计有哪些优势呢? 做好前…

    2022年9月10日
    058
  • 什么是响应式网站建设跟普通站点有何区别。

    随着响应式网站的流行,整个网站建设市场都在其中。网站建设企业正在努力抓住市场机遇,成为行业领导者。每个网站建设公司都开始深入研究响应性的概念。在当前的互联网热潮中,拥有一个H5响应式网站相当于拥有不止…

    2022年9月10日
    072
  • 全面了解亚马逊全网SEO策略。

    在这篇有关亚马逊SEO技巧的分享中,主笔将主要为亚马逊卖家朋友们深入解读A9算法,剖析亚马逊搜索引擎技术原理,帮助卖家朋友们打造更高产品排名,让你合理运用A9算法排名策略收获亚马逊投资回报。 Come on,跟主笔…

    2022年6月28日 SEO操作
    0113
  • 企业建设网站如何进行优化分析。

    我们都知道百度优化的规律。从网站建设开始,就需要精心规划。除了挑选硬件设备,我们也不能忽视网站的标题。无论是站内优化还是站外优化,我们都需要高质量的文章来引入流量。我们在建设网站的时候,也需要注意网…

    2022年9月10日
    066
  • 分享小编告诉你,SEO新手需知的网站建设知识。

    对于一个seo新手来说,第一步应该先了解网站建设的一个基础知识。今天说网站建设的基础之前,我们先了解一下互联网与服务器之间是怎么相互联系在一起的! 其实互联网与服务器两者之间是通过发送“请求”来传输操作信…

    2023年6月22日
    08
  • 导致网页设计价格浮动的依据有哪些。

    网页设计的价格也贵,不同的网页设计价格也不一样。但通常情况下,公司在设计网页的时候,并不会选择高价,有的是根据自己的需求来做。那么网页设计价格波动的依据是什么呢? 网页空间是存储页面的地方。对于单个客…

    2022年9月10日
    053

联系我们

QQ:951076433

在线咨询:点击这里给我发消息邮件:951076433@qq.com工作时间:周一至周五,9:30-18:30,节假日休息