0 Пользователей и 1 Гость просматривают эту тему.
  • 16 Ответов
  • 2670 Просмотров
*

obormot

  • Захожу иногда
  • 68
  • 1 / 2
Создавать новый сайт на хостинге юзером, имеющим права root'а, я так понимаю, не безопасно.
Какие права дать юзеру, дабы сайт не был урезан функционально и безопасность не хромала?
*

b2z

  • Глобальный модератор
  • 7018
  • 758 / 0
  • Разраблю понемногу
Ну на конкрентую базу (таблица mysql.db) как правило дают все права (ну может только без grants и priveleges). А глобально пользователю (таблица mysql.user) лучше всё подрезать :)

В вопросах безопасности только одно правило действует - Разрешено всё, что не запрещено.
*

obormot

  • Захожу иногда
  • 68
  • 1 / 2
сенкс, bzzik. буду разбираться..
*

FromRussia

  • Новичок
  • 1
  • 0 / 0
А может скажите, какие именно права давать в MySQL User чтобы исключить несанкционированные действия и взлом?!

Т.е. скажите какие именно действия необходимы, а остальные порезать...
*

Adam.K

  • Захожу иногда
  • 135
  • 3 / 0
  • Чтож со зрением то делать? Совсем испортилось.
Вопрос актуален, при установке основному юзеру какие права выставлять?
*

VETERINAR

  • Давно я тут
  • 855
  • 165 / 14
  • Kiss my shiny metal ass!
Заберите все права. Всё рухнет. Теперь потихоничку добавляйте прав пока всё не заработает. Заработало - всё, остановитесь. Права должны быть минимальными, но достаточными для полноценной работы системы.
*

Adam.K

  • Захожу иногда
  • 135
  • 3 / 0
  • Чтож со зрением то делать? Совсем испортилось.
Понял, спасибо. По своему опыту как порекомендуете выставить привилегии, чтобы была возможность делать бакап дампером? Просто экспериментировать боюсь, ваше слово "Всё рухнет" меня пугает.
*

VETERINAR

  • Давно я тут
  • 855
  • 165 / 14
  • Kiss my shiny metal ass!
"Всё рухнет" меня пугает.

Нет, ну это не в смысле база данных будет потеряна, а в смысле, что Joomla не сможет делать важные для себя манипуляции, материал сохранить например.
*

Adam.K

  • Захожу иногда
  • 135
  • 3 / 0
  • Чтож со зрением то делать? Совсем испортилось.
Экспериментирую с включением выключением. Сделаю изменения на первый взгляд нормально, но вскоре оказывается что не могу зайти в админку и.п.

Скажите пожалуйста из списка привилегий

SELECT    
CREATE
INSERT    
ALTER
UPDATE    
DROP
DELETE    
LOCK TABLES
INDEX    
REFERENCES
CREATE TEMPORARY TABLES    
CREATE ROUTINE

при включении какие из них влияют на безопасность?

Пользователь один основной, тот что открывался в самом начале при установке Джумлы.
*

VETERINAR

  • Давно я тут
  • 855
  • 165 / 14
  • Kiss my shiny metal ass!
при включении какие из них влияют на безопасность?

Да все они влияют на безопасность. Не получится так чтобы и Joomla работала и чтобы если пароль от базы стырят ничего там не испортили. Если вор уже в доме, то неважно какой на дверях замок висел.
*

Adam.K

  • Захожу иногда
  • 135
  • 3 / 0
  • Чтож со зрением то делать? Совсем испортилось.
Чет я ваш последний пост не понял..
*

beliyadm

  • Легенда
  • 9046
  • 1627 / 64
  • Севастополь == Россия
Смысл в том, что пользователь БД для движка должен иметь привилегии для CREATE, SELECT, INSERT, ALTER, UPDATE, DROP, DELETE и других команд.
Если злоумышленник заберет каким-то образом доступ к БД - ничего уже не поможет
Все истины, которые я хочу вам изложить, — бесстыдная ложь.
Записки нетрезвого кодера || -=Joomla FAQ=- || -=все плохо=- || skype: beliyadm_pb
*

Adam.K

  • Захожу иногда
  • 135
  • 3 / 0
  • Чтож со зрением то делать? Совсем испортилось.
Видимо я что то не учитываю, так как вы говорите "если заберет" или "получит доступ" т.е. эти привилегии могут быть доступны только тому кто получил доступ к базе? В смысле логин и пароль пользователя базы? Значит нужно делать упор не на урезку привилегий а на защиту от доступа к пользователю базы?
*

VETERINAR

  • Давно я тут
  • 855
  • 165 / 14
  • Kiss my shiny metal ass!
Значит нужно делать упор не на урезку привилегий а на защиту от доступа к пользователю базы?

Именно так. Данные для доступа к базе данных Joomla хранит в файле configuration.php. Украсть его могут либо по фтп либо (реже) через SSH. Поэтому не стоит хранить пароли в ftp-менеджерах, т.к. черви их оттуда часто воруют.
*

Adam.K

  • Захожу иногда
  • 135
  • 3 / 0
  • Чтож со зрением то делать? Совсем испортилось.
Чет начинает прояснятся. Но есть непонятные моменты, как то видео смотрел как ребятишки хакеры при взломе радовались тому что все права доступны для базы перед взломом. Они в адресной строке писали какие то обращения к базе и тырили пароли доступа к сайту. Я и подумал о привилегиях, что хулиганам легче получить доступ к базе при полных правах. Значит я что-то не понял.
*

VETERINAR

  • Давно я тут
  • 855
  • 165 / 14
  • Kiss my shiny metal ass!
Скорее всего, малыши радовались тому, что данные, передаваемые через GET (адресную строку) не достаточно фильтруются, что и привело к уязвимости и возможности внедрения своего SQL запроса. С самими правами это не связано.
*

Adam.K

  • Захожу иногда
  • 135
  • 3 / 0
  • Чтож со зрением то делать? Совсем испортилось.
Спасибо успокоили чуток)
Чтобы оставить сообщение,
Вам необходимо Войти или Зарегистрироваться
 

MySQL 5.5 и php 5.3 на Joomla 1.0

Автор kappa937

Ответов: 0
Просмотров: 1811
Последний ответ 03.02.2014, 00:05:09
от kappa937
Как использовать одну базу MySQL для двуx CMS Joomla

Автор Palomnik

Ответов: 2
Просмотров: 1492
Последний ответ 02.06.2009, 21:01:37
от Palomnik
backup mysql error

Автор rosalin

Ответов: 3
Просмотров: 1268
Последний ответ 14.11.2008, 16:27:50
от iT)ZevS(