[pantonine]

[hannahc]

hallo pantonine,

nein, ich verwende manchmal totalcommander, und beim Webseitenbauen PSPad, der kann direkt per FTP auf den Server zugreifen.

[hannahc]

[pantonine]

Administrierst Du den Server selbst?

[hannahc]

, ne, ne, ich hab nur ein bißchen Webspace bei einem Hoster gemietet.

Andererseits, wenn ich admin-Zugriff hätte, jo, dann wär´s natürlich kein Problem die Rechte von beiden Usern zu ändern.

Für meinen persönlichen FTP-User und die zugehörigen Dateien kann ich das ja bei dem Webspace, aber wie gesagt, für den Apache-User, keine Ahnung.

[pantonine]

Dann kannst Du Dir abschmatzen, irgendwelche Apache-Rechte ändern zu können. Eine Datei, die Du per FTP hochlädst, hat PHP als Besitzer. Eine Datei, die PHP erzeugt, hat den Webuser als Besitzer. Davon ist dann abhängig, ob Dateien ausgeführt oder gelöscht werden können - und zwar einerseits auf Grundlage der für sie gesetzten Besitzerrechte (erstes Tripel) oder eben die Gruppenrechte. Für ein File mit FTP hochgeladen ist also bspw. Gruppe zuständig, wenn Apache die Datei ausführen will. Gleiches gilt übrigens für Ordnerrechte. Safe mode verschärft die Sachlage noch.

[hannahc]

ähm, wie ist das, ist der Apache-User dann Mitglied der Gruppe, die für FTP-hochgeladene Dateien zuständig ist?

[hannahc]

ähm, wie ist das, ist der Apache-User dann Mitglied der Gruppe, die für FTP-hochgeladene Dateien zuständig ist?

Ach Schmarrn, das war erst geschrieben, dann gedacht, ok, zusammenfassend nochmal: Hoster sagt, Webuser und FTP-User haben keine Schreib- oder Löschrechte gegenseitig.

Daraus folgt, selbst wenn mein Script eine Stelle hätte, wo PHP-Injection durchgeführt werden könnte, sollte das auf die Webseiten, die ich als FTP-User erstellt habe, keinen Einfluß haben.

(Es sei denn, der böse Injectionscode würde es irgendwie hinkriegen, dem Apache-User SuperUser-Rechte zu geben. Aber ich gehe mal davon aus, daß der Hoster da schon Vorsorge trifft).

Bleibt also doch nur:FTP-Zugang wurde gehackt.

Daraus folgt als ToDo´s: Neues Paßwort!

Dank Eurer Antworten habe ich jetzt aber wieder einiges gelernt, und sehe auch, daß ich trotz allem die Input-Felder meines Kontaktformulars nochmal sicherheitstechnisch überarbeiten sollte.

Daaaankeschön an Euch alle!!!!