Apache et les droits

kitsun · Février 21, 2016, 2:09pm

Bonjour à tous,
Ce problème va surment sembler bête mais c’est pour un accès externe donc je ne préfère pas me tromper.
Je compte utiliser un cacti via le net et le sécuriser avec fail2ban, j’ai installé apache (depot) puis installer cacti via les sources.

Mais j’ai un problème concernant les droits, ce n’est pas clair j’ai lu un peu partout sur le net mais personne ne semble d’accord sur le droits à attribuer

Actuellement :
www-data est propriétaire de tout sauf de deux dossier donc l’utilisateur de cacti est propriétaire.
J’ai mis des droits suivants en utilisant le superbe script d’une personne de ce forum : ( je l’ai un poil adapté à mes besoins )

root@DeB:~/script# more droitapache #!/bin/sh chown -R www-data:www-data /var/www find /var/www -name "*" -type d -exec chmod 755 {} \; find /var/www -name "*" -type f -exec chmod 644 {} \; #find /var/www -name "*.php" -type f -exec chmod 640 {} \;Utile ou pas ? chown -R cactiuser:cactiuser /var/www/cacti/rra chown -R cactiuser:cactiuser /var/www/cacti/log

A l’heure actuelle cela fonctionne cependant je ne connais pas assez bien les attaques possible sur le http et sur les php.

Les droits configurés de la sorte sont-ils corrects ?
Il y a une chose qui me gène vraiment beaucoup c’est que l’utilisateur qui se promené sur le site récupéré ce lien par exemple (fictif ):
cacti.fr/cacti/index.php
Il fait son tour
…
il finit avec le lien :
cacti.fr/cacti/include/confi … /index.php
il se dit “Oh bah on va regarder si ça marche” allez hop :
cacti.fr/cacti/include/
et la PAF il liste le contenu de mon répertoire, après bien sur il ne peut pas récupérer le php puisque c’est déjà interprété mais il a déjà l’accès aux noms de tout les fichiers et les fichiers autres que php.
Comment empêcher le listage de la sorte ?
Est-ce que ce sont les droits des dossier/fichiers qui rentre en compte ?
J’ai lu que le meilleur droit sur les pages php était le 440 cependant je ne saisi pas bien la différence de sécu entre le 440 ou le 740 pour une page web etc
Je précise que je n’ai rien touché sur la conf d’apache.

Merci à vous !

Kit’

Ustilago · Février 21, 2016, 2:09pm

[quote=“kitsun”]
il finit avec le lien :
cacti.fr/cacti/include/confi … /index.php
il se dit “Oh bah on va regarder si ça marche” allez hop :
cacti.fr/cacti/include/
et la PAF il liste le contenu de mon répertoire, après bien sur il ne peut pas récupérer le php puisque c’est déjà interprété mais il a déjà l’accès aux noms de tout les fichiers et les fichiers autres que php.
Comment empêcher le listage de la sorte ? [/quote]
C’est dans la config d’apache il me semble, en tous les cas ça se règle là pour lighttpd : interdire la consultation des répertoires.

Pour le reste je ne sais trop que répondre, je n’utilise ni cacti, ni apache

Usti

kitsun · Février 21, 2016, 2:09pm

Bonjour,
Déjà merci pour ta réponse, si c’est à ne niveau la qu’il faut chercher c’est dejà une piste pour LE “problème”
Maintenant il me reste les quelques questions sur les droits des pages html ou php et des dossiers et leur incidences.

Je vais chercher

Kit’

EDIT :
Je viens de trouver un fichier httpd.conf qui existe mais qui est vide
Il y a un fichier apache2.conf je vais regarder dedans mais ce qui me perturbe c’est vraiment ce httpd vide surtout que dans les quelques liens que j’ai vu suite à ton message il parle de ce fichier

EDIT 2 :
Je viens finalement de trouver c’était dans le sous dossier site-enabled ou site-available ( va falloir que j’aille bouquiner pour bien saisir la diff ^^ )
Et la magie il y a ces options :

<Directory /> Options FollowSymLinks AllowOverride None </Directory> <Directory /var/www/> Options Indexes FollowSymLinks MultiViews AllowOverride None Order allow,deny allow from all

je crois avoir la réponse ^^

Merci déjà pour la piste

ricardo · Février 21, 2016, 2:09pm

C’est bein parce que tu es Périgourdin que je vais faire l’effort de chercher comment j’ai pratiqué
Retour dans quelques temps, quand j’aurai remis ma mémoire en place

ricardo · Février 21, 2016, 2:09pm

Je crois me souvenir que j’ai tout simplement mis un fichier .htaccess à chaque racine.
Celui qui veut remonter se trouve dirigé sur la 404.

php 1 ErrorDocument 404 /404.html
Mais ce n’est ptet pas ce que tu cherches ???

kitsun · Février 21, 2016, 2:09pm

Je ne suis pas un Périgourdin mais un Normand on se défend pas mal non plus

Je t’en prie prend le temps qu’il te faut

EDIT :

Merci de ta réponse.

D’accord, mais ce fichier .htaaccess ne va pas poser de problème quand des autres pages vont pointer vers des pages des dossier proteger ?
Dans le .htaaccess tu as mis un user et mdp c’est juste un fichier comme ça ? ( dans mes souvenir il y avait .htaccess et .htapasswd ? )

Merci en tout cas !

ricardo · Février 21, 2016, 2:09pm

J’avoue que je ne comprends pas bien ta requête.
Veux-tu parler de pages web privées ?
Sois plus explicite ou fait un croquis.
ou mieux, donne un exemple concret

kitsun · Février 21, 2016, 2:09pm

Je ne veux pas que quelqu’un puisse lister le contenu d’un répertoire ce qui est le cas actuellement.
Exemple pour mon cacti je fais : 192.168.0.28\cacti
j’arrive donc sur mon cacti pas de problème.
En revanche si je fais : 192.168.0.28\cacti\include\ et bien tout le contenu du répertoire est visible, ce qui me dérange, même si les fichiers .php d’identification ne sont pas récupérable/lisible c’est tout de même génant pour les images ou le .html (enfin ça me perturbe quoi )

et pour finir

Tu n’avais peut être pas bien compris ma demande, en revanche ta réponse était pertinente car elle m’a permis de comprendre.
Je pense donc que pour bloquer le listage des dossiers de ton site tu as mis ce fichier :

[quote]2) Directement dans le répertoire racine du serveur Web:

Cette configuration n’est possible que si la directive AllowOverride Indexes ou AllowOverride All est activée sur le répertoire dans la configuration du serveur ou de l’hôte virtuel

Créer un fichier .htaccess contenant
1 Options -Indexes

et l’envoyer dans le répertoire qui ne doit pas afficher l’index. La directive se répercutera dans les sous-répertoires si elle est placée à la racine du serveur Apache.[/quote]
Src : yapasdequoi.com/apache/149-d … oires.html

Je vais essayer tout ça, merci à vous deux pour vos solutions !
Juste si quelqu’un peut m’expliquer l’utilité des permissions en 440 ou 640 pour les fichiers des sites car je ne vois aucunes différences de sécurité en tout cas côté attaque externe.

Kit’