Re: Protection Apache
Le 07/07/04 à 14:00, Florian Carrère écrivait:
> je suis entrain de faire des tests pour protéger mes répertoires sur le
> serveur donc je rentre dans httpd.conf la valeur suivante :
>
> <Directory />
> Order Deny,Allow
> Deny from all
> </Directory>
Trop restrictif !
Comment peut-on savoir s'il existe des dossiers/fichiers dans le dossier
"/" ?
> pour protéger mon dossier racine (le serveur) afin que personne ne
> puisse y accéder et à la suite je rentre cette valeur :
>
> <Directory /var/www/>
> Order Deny,Allow
> Allow from all
> </Directory>
Perso, je remplace "/var/www/" par "/home/www".
Et bien sûr /home est dans une partition dédiée.
En cas d'upload ou de fichiers créés par un script cela évite de
saturer la partition où est situé le dossier /var
> Mon but est de faire en sorte qu'on ne puisse pas accéder aux répertoire
> autres que www/ (repertoire ou se trouve les pages) !
>
> Par exemple je ne veux pas que les utilisateur parun script php/perl/
> ... puissent PAR EXEMPLE lister le contenu du fichier access.log qui se
> trouve dans /var/log/apache/ ...
Les scripts sur le serveur web sont executés sur les comptes utilisateur
et groupe www-data comme indiqué dans le fichier httpd.conf.
Donc si tu veux interdire l'accès aux fichiers de log d'Apache à tes
visiteurs, fais ceci
chmod -R o-rwx /var/log/apache
dans le fichier /etc/logrotate.d/apache, changer la ligne
"create 644 root adm" par "create 640 root adm".
> Pour infos le serveur tourne sous une debian avec Apache 1.3.31
Otes-moi un doute !
Tu ne cherches pas à monter un serveur Web en production avec une SID ?
Sur ma Sarge à jour, "apache -v" me donne cela :
Server version: Apache/1.3.29 (Debian GNU/Linux)
Server built: Mar 10 2004 19:07:32.
> j'éspère que vous pourrez m'aider
On fait ce que l'on peut.
Mais là où on a le plus d'échec, c'est d'apprendre aux utilisateurs à
lire le manuel ;-)
Jean-Pierre Pourrez
Reply to: