Warning! Дырявые хостинги.

Доверчивым любителям r-x--x--x посвящается.

Не буду сейчас описывать ГРОМАДНЫЙ список HSP с правами к клиентским директориям по данной схеме. Хочется лишь напомнить их клиентам, что многочисленные «ботнеты», с помощью которых организуют DDOS атаки, методом закачки на их хостинг какого-то скрипта, делаются за счет типичной ошибки в организации доступа к файлам и директориям других клиентов.

Если администраторы вашего хостинга считают, что из директории другого клиента, права на которую установлены в “r-x—x—x” нельзя читать файлы, то они глубоко заблуждаются. Если они считают, что запретив чтение, к примеру “/home”, список домашних директорий нельзя узнать, то они не знают элементарных вещей.

Любой клиент такого хостинга может зайти под своим SSH заходом… а потом, к примеру:

for i in ls `cat /etc/passwd|awk -F ":" '{print $6}'`; do cat $i/public_html/index.php; done|more

Следовательно, злоумышленники могут читать не только index.html, а еще и .htaccess, index.php, а затем уже и includes/config.php и т.д. Потом, в результате сканирования файлов по ключевым словам, в чужие руки попадают учетные записи. Далее, остается только найти способ закачки скрипта, через какое-то приложение. К примеру, если это CMS система, php шаблоны которой можно править через WEB интерфейс, а исполняемым скриптам позволено что-то закачивать на сервер, то дело сделано.

IMHO это всеобщая беда некоторых готовых решений. Разработчики хостинговых систем как-то упустили этот момент, но, тем не менее, поразительны действия администраторов, которые не обращают на это внимание. Из сочувствия к ним, список готовых решений, которые по умолчанию помогают установить такие права к директориям на сервере, приводить само собой не буду.