apache - 关于 +FollowSymLinks 和 -SymLinksIfOwnerMatch 的安全问题？

Question

我正在将其用于我的一个应用程序:

Options +FollowSymLinks -SymLinksIfOwnerMatch

而且我担心这可能带来的安全问题。知道我可以采取什么措施来使这种方法尽可能安全吗？

Answer 1

您无法采取任何具体措施来使这些选项的使用尽可能安全。使用它们的风险在于，用户或用户下运行的进程可以通过创建符号链接(symbolic link)来泄露信息甚至劫持内容。例如，如果非特权用户(可能已受到威胁)想要读取他们通常无法读取的文件，他们可以通过创建从其 public_html 目录到该文件的符号链接(symbolic link)来升级它，并且如果 apache 可以读取它，然后他们就可以访问他们的网页并读取文件。除了确保系统已正确修补和配置之外，您无法采取任何具体措施来防止类似情况发生。

请注意，这种威胁不仅仅来自您系统上的用户。如果您正在运行一个 Web 应用程序，例如 php，并且它以某种方式受到损害，攻击者可以上传 php 文件浏览器并创建指向文档根目录之外的内容的符号链接(symbolic link)(例如/etc/passwd 或其他一些您不知道的文件)希望暴露在网络上)。

如果您担心此类问题，最好不要使用这些选项。