Cearta comhad ar an bhfreastalaí gréasáin

Go achomair: Maidir le cearta comhad ar an bhfreastalaí gréasáin, tá prionsabal amháin i bhfeidhm: is féidir leis an úsáideoir faoina ritheann PHP a chód féin a léamh, ach ní féidir leis é a athrú. Ní fhaigheann ach fillteáin uaslódála, taisce agus temp cearta scríofa, agus ní ritear PHP iontu. Níl cearta ar nós 777 ar bith ar fhreastalaí táirgthe.

Cén fáth a ndéanann cearta comhad an difríocht tar éis briseadh isteach

Nuair a ritheann ionsaitheoirí cód ar fhreastalaí trí leochaileacht, ritheann an cód sin le cearta an phróisis PHP. An rud a cheadaítear don úsáideoir sin, ceadaítear don ionsaitheoir é. Anseo go beacht a chinntear an éiríonn cúldoras buan as briseadh isteach.

Le PHP2Shell tá an cás seo an-nithiúil i nDeireadh Fómhair 2026. Ceadaíonn na leochaileachtaí CVE-2026-109618 agus CVE-2026-109619 cód mailíseach a rith gan logáil isteach. Tá siad ceartaithe ón 21.10.2026 i PHP 8.5.12, 8.4.27, 8.3.36 agus 8.2.35. Ní chuireann cearta comhad maithe ionsaí cosc, ach cuireann siad cosc ar chód a cuireadh isteach d'fheidhmchlár a athscríobh go buan.

I a lán suiteálacha is leis an úsáideoir freastalaí gréasáin an cód ar fad, ionas go n-oibríonn nuashonruithe le brú cnaipe. Tá sin áisiúil, ach is é go beacht an cumasc a lorgaíonn ionsaitheoirí.

An bunphrionsabal: úinéir agus úsáideoir ama rite a scaradh

Tá roinnt i dhá ról ciallmhar. Bíonn na comhaid ag úinéir, mar shampla úsáideoir imscartha, agus cuireann sé nuashonruithe isteach. Ritheann an próiseas PHP faoi úsáideoir eile agus tá cead aige léamh amháin tríd an ngrúpa.

Níl ag teastáil ón bhfreastalaí gréasáin féin, mar shampla Nginx, le PHP-FPM ach rochtain léite ar chomhaid statacha ar nós íomhánna agus CSS. Faigheann tú é sin tríd an ngrúpa nó trí riail rochtana spriocdhírithe. An té a ritheann roinnt suíomhanna gréasáin, tugann sé úsáideoir ama rite ar leith do gach ceann; conas a oibríonn sin le linnte, tá sé sa treoir open_basedir agus scaradh do gach suíomh.

Cearta comhad ar an bhfreastalaí gréasáin a sheiceáil

Sula n-athraíonn tú rud ar bith, faigh forbhreathnú. Ní athraíonn na horduithe seo a leanas aon rud.

# Faoi cén t-úsáideoir a ritheann na próisis PHP?
ps -eo user,cmd | grep -E "[p]hp-fpm|[a]pache2|[h]ttpd" | sort | uniq -c

# Comhaid agus fillteáin atá inscríofa do gach duine
find /var/www -perm -o+w -ls

# Comhaid is leis an úsáideoir freastalaí gréasáin (sampla www-data)
find /var/www -user www-data -type f -name "*.php" | head -50

# Cearta na gcomhad cumraíochta
ls -la /var/www/*/wp-config.php /var/www/*/.env 2>/dev/null

Is beagnach i gcónaí earráid iad iontrálacha atá inscríofa do gach duine. Léiríonn comhaid PHP is leis an úsáideoir ama rite gur féidir leis a chód a athrú. Is suntasach freisin comhaid aonair a bhfuil a n-úinéir nó a gcearta difriúil ó chomhaid chomharsanacha. D'fhéadfadh sé sin a bheith ina leid ar chomhaid a cuireadh isteach, mar a thuairiscítear sa treoir Webshells a aithint agus a bhaint.

Cearta a cheartú: céim ar chéim

Ná hathraigh cearta ach amháin tar éis cóip chúltaca agus más féidir ar dtús ar thimpeallacht tástála. Má tá amhras ann faoi bhriseadh isteach, sábháil na rianta roimhe sin, mar is fianaise iad úinéirí agus stampaí ama sa chás sin.

SITE=/var/www/seite1
# Úinéir: úsáideoir imscartha, grúpa: úsáideoir ama rite
sudo chown -R deploy:seite1 "$SITE"
# Fillteáin 750, comhaid 640
sudo find "$SITE" -type d -exec chmod 750 {} +
sudo find "$SITE" -type f -exec chmod 640 {} +
# Ní fhéadfaidh PHP scríobh ach sna fillteáin seo (oiriúnaigh cosáin don fheidhmchlár)
sudo chown -R seite1:seite1 "$SITE/public/uploads" "$SITE/var/cache"

Seiceáil an suíomh gréasáin go hiomlán ina dhiaidh sin: an leathanach baile, logáil isteach, foirmeacha, uaslódáil íomhá, taisce. Cé na fillteáin ar gá d'fheidhmchlár scríobh iontu, tá sin i gcoinníollacha an chórais ón monaróir ar a leathanach oifigiúil.

Rith PHP a chosc i bhfillteáin inscríofa

Níl cearta scríofa ach leath chomh contúirteach má tá sé dodhéanta cód a rith ansin. Cuir rith PHP faoi ghlas i bhfillteáin uaslódála agus taisce ar leibhéal an fhreastalaí gréasáin. Do Apache i gcumraíocht VirtualHost:

<Directory "/var/www/seite1/public/uploads">
    <FilesMatch "\.(php|phtml|phar)$">
        Require all denied
    </FilesMatch>
</Directory>

Do Nginx is leor bloc location a dhiúltaíonn iarratais ar chomhaid PHP sna fillteáin sin. Baineann an riail le cumraíocht an fhreastalaí, ní le .htaccess san fhillteán uaslódála, ar féidir le hionsaitheoir a bhfuil cearta scríofa aige é a athrú arís.

Ina theannta sin is fiú féachaint ar umask an úsáideora imscartha, ionas nach gcruthaítear comhaid nua ró-oscailte go huathoibríoch. Tugann luach de 027 640 do chomhaid agus 750 d'fhillteáin. Ar fhreastalaithe féin, tá an fhreagracht seo ort go hiomlán; an rud eile a bhaineann leis, déanann Freastalaithe root agus vServers a chosaint tú féin cur síos air.

Cásanna speisialta: painéil óstála, óstáil roinnte agus imscarthaí

Ní féidir gach freastalaí a chur ar bun de réir an leabhair. Cruthaíonn painéil óstála ar nós Plesk nó cPanel úsáideoirí agus cearta dá gcuid féin agus athshocraíonn siad iad le roinnt gníomhartha. Athraigh cearta ansin más féidir trí fheidhmeanna an phainéil nó seiceáil tar éis nuashonruithe an phainéil an bhfuil do shocruithe i bhfeidhm fós.

Le hóstáil roinnte níl de ghnáth ach úsáideoir amháin agat do gach rud. Ní féidir úinéir agus úsáideoir ama rite a scaradh ansin. Is tábhachtaí fós mar sin cearta teoranta ar chomhaid chumraíochta, gan cearta 777, agus rith PHP a mhúchadh i bhfillteáin uaslódála, a mhéid a cheadaíonn an soláthraí óstála é.

An té a oibríonn le himscarthaí uathoibríocha, ba cheart dó na cearta a shocrú sa script imscartha féin. Seachas sin athchóiríonn gach leagan nua an tseanstaid atá ró-oscailte. Tugann seiceáil ghearr ag deireadh an imscartha, mar shampla leis an ordú do chomhaid inscríofa thuas, na céimeanna siar sin go hiontaofa agus is féidir í a chur isteach in aon phíblíne gan mórchuid oibre.

Conas a chabhraíonn PHP SOS go nithiúil?

• Taifeadaimid úinéirí, cearta agus úsáideoirí ama rite na suíomhanna gréasáin go léir ar an bhfreastalaí.
• Socraímid coincheap cearta a oireann do d'fheidhmchlár agus do do bhealach nuashonraithe.
• Cuirimid cearta agus glais rith i bhfeidhm agus tástálaimid an suíomh gréasáin go hiomlán ina dhiaidh sin.
• Doiciméadaímid an coincheap ionas nach laghdóidh imscarthaí agus nuashonruithe é arís.

Conas a leabaítear sin i gcosaint bhuan, déanann an tseirbhís Cruatú freastalaí do fhreastalaithe gréasáin PHP cur síos air.

Ceisteanna coitianta

Foinsí

• OWASP Cheat Sheet Series
• BSI IT-Grundschutz (bonnchosaint TF)
• php.net: tuarascálacha slándála