Apache2 - Schreibrechte im eigenen Verzeichnis

Apache2 - Schreibrechte im eigenen Verzeichnis (45 Beiträge, 463 Mal gelesen)

Du bist nicht angemeldet. [ Login/Registrieren ]

Hallo,
ich habe einige Stunden hinter mir und komme einfach nicht drauf.

Ich möchte im eigenen WEB-Verzeichnis (Virtuelles Verzeichnis) Dateien anlegen können. Es kommt aber leider immer Permission denied. Es gibt mehrere Verzeichnisse und jedes Verzeichnis hat einen eigenen User (ISPConfig).

Sieht so aus :

web20 -> Group : web20_owner -> User : web20

Wie muß ich den Apache konfiguireren, daß er mit den Rechten des Users läuft und Dateien im eigenen Webverzeichnis schreiben kann.

Es gibt eine Gruppe www-data und eine users (sind alle drinnen z.B. web20_owner)

Ich kann und möchte nicht mit 0777 herumfahren.

Grüsse,
Philipp

Ich spende für´s St. Anna Kinderspital, du auch ?

Gibts nicht auch einen User "www"?

Der sollte der Owner vom Webverzeichnis sein.

Lg
Da Horstl

In Anlehung an §9 GlBG beziehen sich meine Texte sowohl auf Frauen als auch an Männer gleichermassen. Ich verzichte daher auf diese "neudeutschen" Ausdrücke mit dem Zusatz "...Innen"

Nein, nur www-data (als user und group).
Ich habe nun den user www-data (unter dem läuft der Apache) in die Gruppe users gegeben. Der Apache läuft nun als User www-data in der Gruppe users. Aber immer noch keine Schreibrechte, obwohl das Verzeichnis 0775 hat.

Grüsse,
Philipp

Ich spende für´s St. Anna Kinderspital, du auch ?

Warum gibst ned einfach den User in eine secondary Group ?

NAME
       usermod - Modify a user account

SYNOPSIS
       usermod [-c comment] [-d home_dir [-m ]] [-e expire_date] [-f inactive_days] [-g initial_group] [-G group1 [ ,group2,... , [groupN] [-a] ]]
               [-l new_login_name] [-p password] [-s shell] [-u uid [-o ]] [-L -U] login_name

       -G group1[,group2,...,[groupN]]]
              A list of supplementary groups which the user is also a member of. Each group is separated from the next by a comma, with no intervening
              whitespace. The groups are subject to the same restrictions as the group given with the -g option. If the user is currently a member of a
              group which is not listed, the user will be removed from the group. This behaviour can be changed via -a option, which appends user to the
              current supplementary group list.

$ id
uid=215(anyuser) gid=1(staff) groups=205(cics),206(cicsterm),100300(tuxedo),208(jboss)

e.g.: usermod -g web20 -G www-data,sound,video,games,mydata,mysql web20

Remember what the dormouse said: Feed your head!

26.02.2007, 10:24 Uhr - Editiert von West, alte Version: hier

Dann würde ich dem ISPConfig hineinpfuschen.
Gehts so, daß ich nur den Apache umkonfigurieren kann.

Ich starte mit dem Apache PHP. Und PHP soll dann als User laufen und die Datei anlegen. Ist es dann nicht Sache von PHP, wenn ich nicht schreiben kann ?

Grüsse,
Philipp

Ich spende für´s St. Anna Kinderspital, du auch ?

Wieso ? Brauchst ja nur ne secondary Group angeben für den User, imo wird das das ISPConfig wenig stören.

PHP wird entweder als CGI von www-data bzw. direkt von Apache als Library nachgeladen, läuft also unter dem User www-data.

Scheinbar ist die Sache ja so:

Du hast nen User "www2", der ist in der Gruppe users, www2, sound sagma mal.

Du hast ein Verzeichnis mit:

drwxrwx--- www-data:www-data mydatadir

Nur wennst da ned mit chmod o+rwx arbeiten willst, mußt den User in die Gruppe schieben die der Besitzer von dem ist, da Du ja sonst ned unter die ersten zwei Regeln (Owner, Groupmember) fällst sondern unter Other und damit ned reinkommst.

Remember what the dormouse said: Feed your head!

Ich hab nun nachgesehen und das hat ISPConfig bereits gemacht.
Alles User sind als Secondary in der Gruppe der anderen und www-data.

Es geht trotzdem nicht (restart ist natürlich gemacht worden).

Wie sieht eine klassische Apache Konfiguration (Rechte) aus bei der Modul-Version ?

Grüsse,
Philipp

Ich spende für´s St. Anna Kinderspital, du auch ?

Das übergeordnete WWW-Verzeichnis sollte:

www-data:www-data gehören, 770 als Rechte haben.

Remember what the dormouse said: Feed your head!

Guter Tipp bin nun schon weiter.
Problem ist eingegrenzt.

- Apache lauft mit www-data:www-data und ist zusätzlich in der Gruppe web20
- Das Verzeichnis wird mit web20_test:web20 angelegt. Wobei der Owner auch in der Gruppe www-data ist.

Wenn ich nun im Verzeichnis web20 eine Datei anlegen möchte -> Permission denied
Ändere ich das Verzeichnis web20 mit chown auf web20_test:www-data dann geht es.
Warum? Beide www-data und web20_test sind auch in der "Partner" Gruppe (also gegenseitig). Wo liegt da der Hund begraben.

Grüsse,
Philipp

Ich spende für´s St. Anna Kinderspital, du auch ?

Also - so habs ich gemacht und so hatte ich auch keine Probs mit User-Daten:

Apache läuft unter www-data. Freigegebene Verzeichnisse werden unter "www-data" angelegt, 770.

Alle User die dorthin zugreifen müssen, kommen in die Gruppe www-data. Damit sollts eigentlich kein Problem sein.

Remember what the dormouse said: Feed your head!

Ja, ich habe jetzt einen User noch als secondary group www-data gegeben und es funktioniert. Blöd ist nur, wenn ISPConfig einen neuen User anlegt, dann kann der ohne Anderungen nicht schreiben. Zumal ISPConfig für jeden virtuellen Server einen User und eine group anlegt.

Also muß ich immer händisch alles erweitern.

Noch eine Frage. Wenn ich ein Tool wie ISPConfig selbst schreibe (das ist für mich kein Problem), wie kann ich unter PHP (Apache) mittels exec Befehle als Root absetzten oder kann ich einem User so viele Rechte geben, daß ich alle Systemeinstellungen (Rechte, ...) verändern kann.

Grüsse,
Philipp

Ich spende für´s St. Anna Kinderspital, du auch ?

Ja wieder ein Grund warum ich so "I do everything for you"-Admin-Tools ned mag.

http://at.php.net/manual/de/function.system.php

kannst - wennst rootzugriff brauchst - den www-data in die sudoers schreiben, würde aber aus Sicherheitsgründen schwer davon abraten!

Remember what the dormouse said: Feed your head!

Ja wennst keinen tau hast, dann ist es nicht schlecht. Jetzt kann ich schon etwas mehr, und sehe, das es doch schrott ist. Immer ist irgendwo eine Kleinigkeit und irgendwas funktioniert dann nicht.

Die Rechte sind mir nun klar, dachte nur, man kann den Apachen irgendwie dazu bewegen es für mich richtig zu machen.

Wie realisiert man dann einen Systemzugriff für ein Config-Tool ?

Ich habe beim Apachen (über Webmin) statt ausführen als group "www-data" mal "default" genommen und nun kann er aber auch Dateien anlegen, jedoch mit einem Zahlenwert als Group? Warum gehts dann ?

Grüsse,
Philipp

Ich spende für´s St. Anna Kinderspital, du auch ?

Die Rechte sind mir nun klar, dachte nur, man kann den Apachen irgendwie dazu
bewegen es für mich richtig zu machen.

Mhh der Apache macht es im Prinzip richtig, bzw. so wie Du es ihm sagst

Wie realisiert man dann einen Systemzugriff für ein Config-Tool ?

also wenn du keine besonderen Recht brauchst:

system ("ls -la");

besondere Rechte kannst via sudo holen (muß aber der User in /etc/sudoers eingetragen sein).

system ("sudo -u root ls -la");

Ich habe beim Apachen (über Webmin) statt ausführen als group "www-data" mal
"default" genommen und nun kann er aber auch Dateien anlegen, jedoch mit einem
Zahlenwert als Group? Warum gehts dann ?

Gibts die Group ? sonst kannst gleich die Recht weglassen...

Remember what the dormouse said: Feed your head!

Nein, er nimmt einfach irgend einen Integerwert. Aber owner von File ist der Apache. Ist für mich auch eine Lösung, nur ist mir nicht klar, ob das Verhalten vom Apachen richtig ist.

Wenn ich gleich nach dem Dateianlegen auch chmod machen möchte, dann braucht der Apache aber wieder root Rechte, oder ?

OK, das mit dem sudo ist klar.

Grüsse,
Philipp

Ich spende für´s St. Anna Kinderspital, du auch ?

Nein, er nimmt einfach irgend einen Integerwert. Aber owner von File ist der
Apache. Ist für mich auch eine Lösung, nur ist mir nicht klar, ob das
Verhalten vom Apachen richtig ist.

Jo weil er die Gruppe ned kennt, leg die Gruppe an und er schreibt den Wert hin.

Wenn ich gleich nach dem Dateianlegen auch chmod machen möchte, dann braucht
der Apache aber wieder root Rechte, oder

Nein, weil dann ja eh du der Owner bist.

Greets.

Remember what the dormouse said: Feed your head!

Noch eine Frage. Wenn ich ein Tool wie ISPConfig selbst schreibe (das ist für
mich kein Problem), wie kann ich unter PHP (Apache) mittels exec Befehle als
Root absetzten oder kann ich einem User so viele Rechte geben, daß ich alle
Systemeinstellungen (Rechte, ...) verändern kann.

Waaaah! Bitte tu das nicht - damit machst den ganzen Server auf! Ganz großes Sicherheitsloch, über das sich Scriptkiddies freuen, wie der phj über einen neuen Mercedes

lg
oliver

es ist nett wichtig zu sein, aber es ist viel wichtiger nett zu sein!

vor allem den user noch in die sudoers einzutragen ist ähnlich wie wenn ich inverses russisch roulett spiel (nur in 1 Kammer ist keine Kugel

)

Remember what the dormouse said: Feed your head!

Es gibt 3 Möglichkeiten die ich kenne um so etwas zu realisieren:

1.) mit einem eigenen Webserver der als Root läuft (webmin)

2.) Die Daten werden in einer Datenbank gespeichert, und ein cronscript das als root läuft nimmt die Veränderungen vor (confixx, ispconfig, ...)

3.) Die Verwaltung läuft fast komplett über eine Datenbank, und es wird nur minimal in das System selbst eingegriffen (syscp)

Hallo,
hast du evt. einen Tipp für mein Problem. Das ISPConfig macht mich schon narrisch. Ich brauche einfach in Verzeichnissen Schreibrechte (speichern von Uploads, Bilder, ...), aber ich will nicht die Dateien auf 0777 setzen und anlegen funktioniert ja auch nicht. Der Apache läuft ja unter seinem eigenen user www-data.

Der Apache ist mit der secondary Group im web20 und web20 ist mit der secondary in der www-data. Aber das Problem ist, ISPConfig mach bei den Userverzeichnissen immer eine eigene Gruppe. Wenn da www-data als Gruppe eingetragen wäre ginge es warscheinlich.

Grüsse,
Philipp

Ich spende für´s St. Anna Kinderspital, du auch ?

Nunja, man könnte im ISPC rumbasteln dass er dass macht.
Man müsste dem Cronscript den Befehl hinzugeben dass er jedesmal den www-root als Gruppenmember hinzufügt.

Es gäbe auch die Möglichkeit die php-scripte als cgi auszuführen, damit sie nichtmehr als www-data sondern als derjenige User laufen, dass eröffnet aber wieder andere Probleme mit ispc und der Sicherheit.

Im ISPConfig Forum haben das Problem viele. Lösung gibt es eigentlich keine, ausser den Code umzuschreiben, so wie auch du sagst.

PHP-CGI wird von genauso vielen abgelehnt wie empfohlen. Ist die CGI nicht langsamer, weil es immer geladen werden muß? Ich habe auch gestern gelesen, CGI geht mit ISPConfig nicht ??? Zudem soll es Nachteile haben, PHP als CGI auszuführen. Ich lese auch immer von suPHP, aber alles zusammen hört sich schon wieder nach viel arbeit an

Grüsse,
Philipp

Ich spende für´s St. Anna Kinderspital, du auch ?

Ist die CGI nicht langsamer, weil es immer geladen werden muß?

Dass ist richtig, obwohl man es bei 08/15 Seiten mit ein paar tausend Besuchern pro Woche nicht merkt.

Zudem soll es Nachteile haben, PHP als CGI auszuführen.

Dass Problem ist dass die open_basedir und safe_mode einstellungen im Apache da nicht wirken. Dh. man müsste für jedes Web ein eigenes php.ini File anlegen, und dass in ipsc einzuarbeiten ist sehr mühsam.

Ich lese auch immer von suPHP, aber alles zusammen hört sich schon wieder nach
viel arbeit an

Suphp ist quasi php als cgi, nur halt als eigenes Modul, selbe Probleme.

Hallo,
ich habe wieder eine Stündchen hinter mir mit dem suPHP.

Bei suPHP wird aber PHP nicht als cgi ausgeführt :

suPHP is a tool for executing PHP scripts with the permissions of their owners. It consists of an Apache module (mod_suphp) and a setuid root binary (suphp) that is called by the Apache module to change the uid of the process executing the PHP interpreter.

Ich habe es bei mir zuhause installiert und habe - trotz der V 0.6.2.- das Problem, das eigentlich nicht mehr auftreten sollte :

[Thu Mar 15 14:46:48 2007] [error] [client 127.0.0.1] Premature end of script headers: info.php
[Thu Mar 15 14:46:48 2007] [error] [client 127.0.0.1] SoftException in Application.cpp:291: UID of script "/var/www/info.php" is smaller than min_uid
[Thu Mar 15 14:46:48 2007] [error] [client 127.0.0.1] *** glibc detected *** /usr/lib/suphp/suphp: double free or corruption (fasttop): 0x0806f9c0 ***
[Thu Mar 15 14:46:48 2007] [error] [client 127.0.0.1] ======= Backtrace: =========
[Thu Mar 15 14:46:48 2007] [error] [client 127.0.0.1] /lib/tls/i686/cmov/libc.so.6[0xb7db78bd]
.
.
.

Das Problem ist bekannt. Weiß vielleicht wer, was ich machen könnte (wenn es mein Fehler ist).

Grüsse,
Philipp

Ich spende für´s St. Anna Kinderspital, du auch ?

Also, wenn ichs jetzt im Forum sehe, fallen mir die Tomaten von den Augen. UID hab ich geändert und es geht. Es zeigt mir nun FastCGI an, obwohl ich dann die Erklärungen in diversen Foren nicht verstehe. Gibts da 2 Versionen. Es soll doch nur das Apache Modul mit Userrechten aufgerufen werden (oder das PHP).

Uff, ich geh gleich wieder weiter lernen

Grüsse,
Philipp

Ich spende für´s St. Anna Kinderspital, du auch ?

suphp ruft das php-cgi binary als user auf, ist also nur ein wrapper im prinzip

Aber die FastCGI. Die ist doch schneller, weil es im Speicher bleibt. Ich möchte nämlich mod_php und su_PHP paralell betreiben. ISPConfig hat aber bereits suExec.. aktiviert. Macht das nun das gleiche und wenn ja, wie kann ich das aktivieren ??? Das müßte ich noch hinbekommen, dann ist endlich Ruhe

Grüsse,
Philipp

Ich spende für´s St. Anna Kinderspital, du auch ?

FastCGI startet dann für jeden Benutzer einen eigenen Prozess der halt im Speicher bleibt, und darüber die Scripte ausführt. Ist zwar sehr schnell, für viele Benutzer jedoch auch ziemlich Ressourcenfressend.

mod_php und mod_suphp können parallel gefahren werden, das ist kein Problem.

Bei FastCGI kann ich dir nicht weiter helfen, da es für meine Anforderungen unbrauchbar ist.

Bei FastCGI kann ich dir
nicht weiter helfen, da es für meine Anforderungen unbrauchbar ist.

Verstehe ich nicht. Ich habe suPHP aktiviert und im phpinfo() steht dann fastCgi als Handler. Habe ich da jetzt was falsch? Ruft nicht suPHP die PHP fastCGI Version auf?

Grüsse,
Philipp

Ich spende für´s St. Anna Kinderspital, du auch ?

FastCGI hat im prinzip nichts mit dem php zu tun, es ist nur ein Wrapper zwischen dem Apache und dem cgi.

So ich habe ISPConfig mal probeweise umgeschrieben. War in 5 Minuten fertig, nur hat es leider einen kleinen Nachteil. Ich habe zwar nun das Webverzeichnis in der Gruppe www-data, nur wenn ich per FTP Daten übertrage, dann legt er es ja mit dem User und seiner Gruppe an. Wenn ich jetzt weiter verändere, dann hat das kein Ende.

Ist das Verhalten eigentlich richtig. Plesk macht es nämlich anders, denn da funktioniert es.

Grüsse,
Philipp

Ich spende für´s St. Anna Kinderspital, du auch ?

So, da alles nicht so richtig funktioniert, bin ich wieder hier angelangt. Das Problem ist jedoch dann, das ich per FTP keinen Zugriff habe, weil die Files ja nicht mir gehören sondern www-data.

Grüsse,
Philipp

Ich spende für´s St. Anna Kinderspital, du auch ?

ich habe das mit SuexecUserGroup gelöst.

Runter gehts schneller als rauf!
Statistik ist eine exakte Methode, Halbwahrheiten ungenau auszudrücken.
FashionModelDirectory.com | Smartforum.at

Geht das wirklich nur bei CGI, denn angeblich gibt es auch für die mod Variante eine Lösung. Beim Google bin ich schon alles durch.

Grüsse,
Philipp

Ich spende für´s St. Anna Kinderspital, du auch ?

puh, da bin ich überfragt. ich habe es in als direktive im vhost und php legt mir unter dem benutzernamen die dateien ab. per ftp verbinde ich mich auch mit dem benutzernamen und hab somit keine berechtigungsprobleme

Runter gehts schneller als rauf!
Statistik ist eine exakte Methode, Halbwahrheiten ungenau auszudrücken.
FashionModelDirectory.com | Smartforum.at

Hast du PHP als CGI laufen ?

Grüsse,
Philipp

Ich spende für´s St. Anna Kinderspital, du auch ?

hm. glaub ich nicht. um ehrlichzusein habe ich mich darum nicht gekümmert.

"apt-get install php4" und das zeugs war da.

wie könnte ich herausfinden ob php als cgi läuft?!

Runter gehts schneller als rauf!
Statistik ist eine exakte Methode, Halbwahrheiten ungenau auszudrücken.
FashionModelDirectory.com | Smartforum.at

Naja, ich kofiguriere über WEBMIN und da sehe ich es.

Jetzt habe ich mal bei mir nachgesehen und ich habe SuexecUserGroup sogar in Verwendung. Aber warum funktioniert es nicht ???

Das Verzeichnis gehört web20_test, alle Files sind in der Gruppe web20 und im VirtalHost Abschnitt steht "SuexecUserGroup web20_test web20". Das scheint ja richtig zu sein, aber ich kann kein File anlegen. Grrrr ... was mache ich falsch?

Grüsse,
Philipp

Ich spende für´s St. Anna Kinderspital, du auch ?

27.02.2007, 10:57 Uhr - Editiert von jobnavigator, alte Version: hier

ist der inhaber des verzeichnisses indas du schreiben willst auch derselbe user mit dem du versuchst zu schreiben?!

Runter gehts schneller als rauf!
Statistik ist eine exakte Methode, Halbwahrheiten ungenau auszudrücken.
FashionModelDirectory.com | Smartforum.at

Eigentlich schon.

Der Apache lauft mit www-data:www-data und wenn er das PHP bemüht, lauft dann PHP auch damit oder mit dem was in SuexecUserGroup steht.

Also für die ganz Blöden (ich bin gemeint

) :
WWW -> Apache (www-data:www-data) -> SuexecUserGroup (owner:owner-grp) -> PHP -> Datei r/w

Wo in der Kette lauft was falsch ?

Grüsse,
Philipp

Ich spende für´s St. Anna Kinderspital, du auch ?

SuExecUserGroup wirkt nur bei cgi Scripten, also alles was extern gestartet wird. Bei mod_php bringt es nichts.

Schon gemerkt. Ich habe nun die jeweiligen Gruppen webXX um www-data erweitert. Wenn der Apache nun ein File anlegt, gehört es ihm und ich kann notfalls auf 0775 wechseln, das es der webXX-User auch bearbeiten kann (FTP).

Ich habe das zwar im ISPConfig eingebaut, aber funktioniert hat es nicht. Zum add_user_to_group(webXX) habe ich einfach add_user_to_group("www-data") gemacht in der config....

Es geht so halbwegs. Da am Server nur zwei Personen werkeln, ist es kein Problem.

Grüsse,
Philipp

Ich spende für´s St. Anna Kinderspital, du auch ?

Dieses Forum ist eine frei zugängliche Diskussionsplattform.
Der Betreiber übernimmt keine Verantwortung für den Inhalt der Beiträge und behält sich das Recht vor, Beiträge mit rechtswidrigem oder anstößigem Inhalt zu löschen.
Datenschutzerklärung