open_basedir für Subdomains

lmcsg · 16. Oktober 2023

Hallo Liveconfig User,

ich habe eine Frage zu der open_basedir Einstellung. Gibt es eine Möglichkeit diese open_basedir-Einstellung nicht nur pro Kunde sondern auch pro Domäne zu hinterlegen?

Wenn ein Kunde auf seinem Webspace mehrere Sub-Domains hinterlegt hat ist es technisch möglich über PHP auch auf alle Daten der anderen Subdomains zuzugreifen. Gibt es hierzu eine Möglichkeit über open_basedir nur auf die Daten des hinterlegten Root-Verzeichnisses der Subdomain zu beschränken?

Vielen Dank im Voraus.

antondollmaier · 16. Oktober 2023

Nein, das ist aktuell nicht möglich: Die PHP-Konfiguration kann nur auf Vertrags-Ebene gesetzt werden.

Auf open_basedir würde ich im Übrigen gar nicht vertrauen: Aufrufe wie 'system("cat /var/www/foo/htdocs/wp-config.php");' werden von open_basedir nicht eingeschränkt.

Wir empfehlen unseren Kunden daher aktuell, bei relevanten Trennungen zwischen Webseiten auf verschiedene Accounts zu setzen. Linux-Dateisystem-Rechte verhindern obigen Fall nämlich sauber.

lmcsg · 16. Oktober 2023

Hallo Anton,

vielen Dank für die Rückmeldung. Ich werde es dann so umsetzen.

kk · 16. Oktober 2023

Je nach Patch-Stand in PHP lässt sich das sogar noch einfacher umgehen:

Code

ini_set('open_basedir', '..');
chdir('..');chdir('..');chdir('..');chdir('..');chdir('..');chdir('..');
ini_set('open_basedir', '/');

Ganz unnützig ist open_basedir aber auch wieder nicht, weil es einen anderen (kritischen) Angriffsvektor gibt, der nach meinem Kenntnisstand nur damit umgangen werden kann.

Jetzt mitmachen!