под каким userом MySql устанваливать Joomlу? - Joomla 1.0: Общие вопросы

Создавать новый сайт на хостинге юзером, имеющим права root'а, я так понимаю, не безопасно.
Какие права дать юзеру, дабы сайт не был урезан функционально и безопасность не хромала?

Ну на конкрентую базу (таблица mysql.db) как правило дают все права (ну может только без grants и priveleges). А глобально пользователю (таблица mysql.user) лучше всё подрезать

В вопросах безопасности только одно правило действует - Разрешено всё, что не запрещено.

сенкс, bzzik. буду разбираться..

А может скажите, какие именно права давать в MySQL User чтобы исключить несанкционированные действия и взлом?!

Т.е. скажите какие именно действия необходимы, а остальные порезать...

Вопрос актуален, при установке основному юзеру какие права выставлять?

Заберите все права. Всё рухнет. Теперь потихоничку добавляйте прав пока всё не заработает. Заработало - всё, остановитесь. Права должны быть минимальными, но достаточными для полноценной работы системы.

Понял, спасибо. По своему опыту как порекомендуете выставить привилегии, чтобы была возможность делать бакап дампером? Просто экспериментировать боюсь, ваше слово "Всё рухнет" меня пугает.

"Всё рухнет" меня пугает.

Нет, ну это не в смысле база данных будет потеряна, а в смысле, что Joomla не сможет делать важные для себя манипуляции, материал сохранить например.

Экспериментирую с включением выключением. Сделаю изменения на первый взгляд нормально, но вскоре оказывается что не могу зайти в админку и.п.

Скажите пожалуйста из списка привилегий

SELECT    
CREATE
INSERT    
ALTER
UPDATE    
DROP
DELETE    
LOCK TABLES
INDEX    
REFERENCES
CREATE TEMPORARY TABLES    
CREATE ROUTINE

при включении какие из них влияют на безопасность?

Пользователь один основной, тот что открывался в самом начале при установке Джумлы.

при включении какие из них влияют на безопасность?

Да все они влияют на безопасность. Не получится так чтобы и Joomla работала и чтобы если пароль от базы стырят ничего там не испортили. Если вор уже в доме, то неважно какой на дверях замок висел.

Чет я ваш последний пост не понял..

Смысл в том, что пользователь БД для движка должен иметь привилегии для CREATE, SELECT, INSERT, ALTER, UPDATE, DROP, DELETE и других команд.
Если злоумышленник заберет каким-то образом доступ к БД - ничего уже не поможет

Видимо я что то не учитываю, так как вы говорите "если заберет" или "получит доступ" т.е. эти привилегии могут быть доступны только тому кто получил доступ к базе? В смысле логин и пароль пользователя базы? Значит нужно делать упор не на урезку привилегий а на защиту от доступа к пользователю базы?

Значит нужно делать упор не на урезку привилегий а на защиту от доступа к пользователю базы?

Именно так. Данные для доступа к базе данных Joomla хранит в файле configuration.php. Украсть его могут либо по фтп либо (реже) через SSH. Поэтому не стоит хранить пароли в ftp-менеджерах, т.к. черви их оттуда часто воруют.

Чет начинает прояснятся. Но есть непонятные моменты, как то видео смотрел как ребятишки хакеры при взломе радовались тому что все права доступны для базы перед взломом. Они в адресной строке писали какие то обращения к базе и тырили пароли доступа к сайту. Я и подумал о привилегиях, что хулиганам легче получить доступ к базе при полных правах. Значит я что-то не понял.

Скорее всего, малыши радовались тому, что данные, передаваемые через GET (адресную строку) не достаточно фильтруются, что и привело к уязвимости и возможности внедрения своего SQL запроса. С самими правами это не связано.

Спасибо успокоили чуток)