¿Cómo denegar acceso a otros subdirectorios de public_html?

[kitune]

Hola a todos,

Tengo un servidor dedicado con el típico public_html lleno de carpetas que corresponden a dominios de clientes.

El problema es que desde una subcarpeta public_html/dominio.com se puede tener acceso vía php al raíz public_html o incluso a otro dominio public_html/otro.com, y eso presenta un grave agujero de seguridad desde mi punto de vista.

He creado un php en /dominio.com en el que he puesto un código que creaba un archivo a ../../otro.com/archivo.txt y lo ha hecho sin problemas ejecutándose desde el navegador simplemente.

Algunas de esas carpetas de clientes tienen acceso ellos mismos vía FTP para modificar cosas, así que no me fio un pelo.

¿Cómo puedo hacer para que en ningún caso algún script dentro de una carpeta pueda acceder a más allá de su propia carpeta?

Gracias!

[skamasle]

Bueno en primer lugar esta mal diseñada la estructura, lo ideal hubiera sido poner a cada cliente con un nombre de usuario distinto /home/cliente1 /home/cliente2 y que PHP se ejecute en cada cliente con su nombre de usuario.

Así como lo montas esta un poco complicado, pero se puede hacer, si creas para cada cliente un usuario distinto y configurar suexec y suphp y, también lo más útil es añadir una directiva de open_base_dir para cada cliente, así solo podrán escribir, ver, abrir etc en la ruta definida, que será la carpeta del cliente, un tmp y poco más.

[kitune]

Iniciado por skamasle

Bueno en primer lugar esta mal diseñada la estructura, lo ideal hubiera sido poner a cada cliente con un nombre de usuario distinto /home/cliente1 /home/cliente2 y que PHP se ejecute en cada cliente con su nombre de usuario.

Así como lo montas esta un poco complicado, pero se puede hacer, si creas para cada cliente un usuario distinto y configurar suexec y suphp y, también lo más útil es añadir una directiva de open_base_dir para cada cliente, así solo podrán escribir, ver, abrir etc en la ruta definida, que será la carpeta del cliente, un tmp y poco más.

Claro, pero aquí cuando llegue yo ya estaba todo así montado con el mismo usuario. Y son cerca de 200 carpetas.

Así de primeras lo del open_base_dir me suena un poco a chino, buscaré información.

Y lo de suexec y suphp lo mismo...

Gracias!

[skamasle]

Iniciado por kitune

Claro, pero aquí cuando llegue yo ya estaba todo así montado con el mismo usuario. Y son cerca de 200 carpetas.

Así de primeras lo del open_base_dir me suena un poco a chino, buscaré información.

Y lo de suexec y suphp lo mismo...

Gracias!

Siempre puedes trabajar un poco y comenzar a mover a los clientes a cuentas aparte, tardarás pero es lo mejor.

O eso o contratar un nuevo servidor con un panel e ir moviendo los.

Más fácil, más seguro, más comodo, los backups son más sencillos etc.