как?

в коде есть дыра. Я смогу выполнять код. Как сервер это остановит?

Хорошо настроеный сервер разве что запретит мне попасть за пределы сайта

Но сайт будет полностью под моим контролем

Даже если сайт будет выполняться внутри chroot - пофиг. из него легко выбраться

> всі твої файли видно, видно всю структуру, і. що де лежить
ці файли, де вони лежать і так видно в html-коді сторінки

> а це якби трохи не секюрно
що саме тут несекюрно. який конкретно вектор атаки, який конкретно спосіб зламати систему через лістинг

> звичайновсі закривають індексом всі директорії
от я якраз і кажу шо закривати бездумно всі - дічь. закривай лише ті, які дійсно треба закрити. папка assets сюди не відноситься

> о якщо ит хороший адмін ти нафіг виставиш права і налаштуєш свій серверщобтой вертав 403 коли треба
ну от я й питаю - які мають бути коректні права на директорії та файли?

що ти в кладаєш в це поняття? наведи конкретні приклади

окей

давайте по порадку все розберемо

давай, я тому по пунктах і написав питання

☺️

> всі твої файли видно, видно всю структуру, і. що де лежить
ці файли, де вони лежать і так видно в html-коді сторінки

в хтмл коді сторінки видно тільки файли які визиваються, системних, конфігів і всякої дічі яка може місти інфу про систему не видно

> а це якби трохи не секюрно
що саме тут несекюрно. який конкретно вектор атаки, який конкретно спосіб зламати систему через лістинг

я вже на водив приклад, що шел може світиися всім, або навіть той самий енв викачати якщо хтось закинув його туди не дай боже

> звичайновсі закривають індексом всі директорії
от я якраз і кажу шо закривати бездумно всі - дічь. закривай лише ті, які дійсно треба закрити. папка assets сюди не відноситься

хай там хоч і цсс чи джс міститься і вона не буде закрита і запись буде виставлення будь кому, ще вже модливість залити в неї щось не своєорідне

а в чому проблема з енв файлов в темі? (якщо він в папці з індексом сидить і хеш ім’ям?

Кто-то еще парится из-за chmod?
В нормальных реалиях, у тебя приложение исполняется от имени юзера, который изолирован, и имеет полный доступ ко всем файлам внутри своей директории)

и никакие chmod не надо

> в хтмл коді сторінки видно тільки файли які визиваються, системних, конфігів і всякої дічі яка може місти інфу про систему не видно

так в папці /assets/ подібних файлів:
- немає
- не повинно бути

> я вже на водив приклад, що шел може світиися всім, або навіть той самий енв викачати якщо хтось закинув його туди не дай боже

до чого тут env і до чого тут шелл, якшо мова йде папку з assets?

> хай там хоч і цсс чи джс міститься і вона не буде закрита і запись буде виставлення будь кому, ще вже модливість залити в неї щось не своєорідне

- як індекс папки впливає на запис?
- яке відношення взагалі права на запис для world мають до лістингу директорії?
- як можна через лістнги в браузері залити шел в директорію?

ви блять дебіли чи ними притворюєтеся, ніхто не говрить за лістинг що через ббраузер можна залити, но і не треба залишати це відкритим всім на показ