La marca de la bestia no es 666 sino 777

Recientemente estaba leyendo algunos temas de usuarios del foro preocupados por la seguridad de CMS, http://www.comunidadhosting.com/showthread.php?t=7396 y http://www.comunidadhosting.com/showthread.php?t=7294, Desde hace poco he comenzado a usar CMS, confieso que nunca antes lo había hecho por considerarlos productos de bajo nivel y no actos para el mundo empresarial.

Pues bien estaba equivocado, los actuales CMS permiten crear soluciones PRO muy fácilmente, lamentablemente la seguridad deja mucho que desear, en mi experiencia reciente con Jommla y Wordpress casi para cualquier cosa el CMS te indica que debes configurar permisos 777, esto es el equivalente a ir de compras y dejar siempre los cheques firmados y en blanco en todas las tiendas, confiando en que nadie hará nada indebido o a que dejemos nuestras casas o autos abiertos y con las llaves a la vista con un letrero que diga "eres bienvenido mientras no hagas nada indebido"

Para los que no conocen de permisos Linux, 777 significan que todos pueden leer, escribir o ejecutar el archivo, esto hace que sea muy fácil para un hacker introducir código malicioso y ejecutarlo con los privilegios del dueño del archivo (probablemente el servidor web).

Piensalo bien antes de establecer permisos 777 a un directorio o archivo, normalmente se puede lograr lo mismo con permisos 755.

 

Que tal el rendimiento? configuré uno a prueba y nunca es lo mismo que tenerlo como módulo Apache

Una alternativa es algo de "magia" con los permisos y propietarios algo como 755 y usuario:httpd pero es complicado de implementar

 

Interesante...

Gracias

 

Yo para mis programas uso PERL y la verdad que siempre les di 755, nunca necesité usar el 777...

Hay que ver que corno hacen esos programas...

:adios:
PD: Es muy raro que un script necesite 777, como si tuviese que escribirse a si mismo !!!

 

Nosotros estamos usando actualmente SuPHP. No me gusta tanto como FastCGI que en mi opinión fue el mejor (era igual que tener PHP como módulo de apache, lástima que no se integraba muy bien con cPanel y está en un estado muy reciente de desarrollo).

Lo malo es que vivo recibiendo tickets por el error 500 porque modifican el .htaccess o ponen CHMOD 777 (aunque en la mesa de soporte dice clarito NO LO HAGAS).

En cuanto al rendimiento, hay una leve desmejoría, pero es casi impercetible, a cambio de un poco más de seguridad.