S
Ну и выполнился
Size: a a a
2021 April 13
S
И что? У него же нет прав на такие вещи
T🐜
просто сделает закладку в коде с бекдором. Точно также будет выполнять команды в терминале.
T🐜
у него есть все права что и у юзера, от имени которого исполняется код.
S
Как будет? У него ограничений дохера, ни exec ни shell
T🐜
и? есть file_put_content, file_get_content
T🐜
также может просканить все доступные директории
ДЩ
open_base_dir дырявая хуйня ((
T🐜
да элементарно, на иосы рекламу свою повесить, в рандомные часы, хуй заметишь.
S
Open base dir стоит, не получится, я проверял
S
Хз, я обойти не мог при тестах, ну помимо нее еще где мог права поставил на файлы и папки
S
Мне главное чтоб он файлы с проекта другие не спиздил, а за рекламу просто уйдет с проекта, безболезненно
ДЩ
пошукай в инете там подробно есть статьи про то какая это дырявая шляпа и что никак не лечится, сам в своем время имел идею фикс ))
ДЩ
было бы желание а унести вообще на раз два через дыру в base_dir
ВС
Создай ему виртуалку да и все дела. Посмотри в сторону proxmox
S
Погуглю спс
S
Как же тогда он сможет отображаться на site.ru/project1 ?
ВС
Через настройки глобального конфига nginx, например, хз
ДЩ
я тоже сначала хотел предложить, а потом присмотрелся )) там один проект и надо чтобы прогер видел только свою часть, тут только надо микросервис делать и виртуалку ))
ВС
Ну вот, поэтому надо разносить на разные репы