DB2

Dreamhost 的空间已经用了个把月了（使用Fenng 的折扣代码购买 ），最欣赏的是它为用户提供登录Shell，在授权内可以运行绝大部分shell 命令，甚至允许添加cron job，让你在最大限度内保留自有主机的使用习惯。不过在带来灵活性的同时，如果使用不慎，风险也随之而来。下面是新建帐号系统默认建立的目录以及权限设置：

[hostname]$ pwd
/home/yourname
[hostname]$ ls -l
total 28
drwx--S---   6 yourname groupname 4096 2006-12-27 04:29 Maildir
drwxr-x--x  33 yourname groupname 4096 2007-02-03 06:07 domain.com
drwxr-sr-x   3 root       root      4096 2006-12-26 15:50 logs

目录domain.com 是对应虚拟主机网站所属的根目录，当前的权限位是drwxr-x--x(751)，网站如果希望被正常访问，所需的最小权限位是d--x--x--x(111)。而一般网站都有动态内容生成，比如使用cgi，那么作为运行此cgi 进程的用户则需要对相关目录和文件具有写权限，最小权限位是drwx--x--x(711)。

在深入讨论前，先回顾一下Unix 文件权限位的作用，如果你非常熟悉，请跳过。

每一个文件有10个标识位，第一位d代表目录，空(-)代表文件。其后9位分成三组，分别代表当前用户、同组用户、任何登录用户所对应的权限。r: 读权限，w: 写权限，x: 执行权限。这三种权限对于一个文件都很好理解，对于目录，如果拥有r读权限，可以列出目录下的文件，具有目录的w写权限和x执行权限，可以在目录中增加和删除文件。对于目录具有x执行权限，可以使用cd 命令进入此目录。

下面列出一些可能被误解的权限设置。 

例子一： 

drwx----wx /dir
-rwx------ /dir/1.txt

这种权限，虽然其他人无法列出目录dir 中的文件，也无法读取文件1.txt，但是如果已知文件名1.txt，依然可以删除文件，因为Unix 实际把目录也作为一个文件看待，目录实际保存了文件列表，对目录具有写权限就意味可以修改这个列表。

例子二：

drwx-----x /dir
drwx-----x /dir/dir2
-rwx---r-- /dir/dir2/1.txt

对于这种权限，其他人无法通过列目录方式获知文件路径/dir/dir2/1.txt ，但如果已知此路径，就可以读出文件内容。

安全漏洞 

默认的，Dreamhost 为你的home 目录设置如下权限：

[hostname]$ pwd
/home/yourname
[hostname]$ ls -ld .
drwxr-x--x  9 yourname groupname 4096 2007-02-03 06:00 .
 

这保证了任何本组以外的用户无法列出你的home 目录文件，但并不保证无法列出home 目录以下的子目录，这依赖于你的权限设置，而大多数用户都设置了一个非常宽松的权限。有关Dreamhost用户组的设置，下一个小节会讨论。

例子二就是本文讨论的目的，前面说过，对于网站所属的目录，为了保证正常浏览，对于所有目录都要求设置一个最小权限d--x--x--x(111)，同时对于网站目录中的cgi 文件，我们通常设置为drwxr-xr-x(755)，如果一个不怀好意者拥有一个与你相同主机上的shell 帐户，可以通过猜测或者其它途径获得你的敏感文件路径，然后使用以下命令轻松获得你的敏感信息，比如，人们通常把movable type 系统的数据连接信息保存在文件mt-config.cgi 中。

$ cat /home/yourname/yourdomain.com/mt/mt-config.cgi 

对于上面的安全问题，我有2种解决方法，一种是让人无法获知敏感文件的准确路径，但是这种方法非常具有局限性，即使实现，管理成本也很高。Dreamhost 已存在的一个安全漏洞使大部分未觉察的用户都暴露在此风险下。另一种方法是小心的配置敏感文件的权限，而对于非敏感文件则可以不作考虑。比如对于mt-config.cgi 文件，应该设置权限-rw-------(600)，此文件虽然具有cgi 扩展名，不过仅仅是一个配置文件，只要保证以你的帐户身份运行的cgi 程序可以读取此文件即可。对于其它类似的敏感文件可根据情况进行类似权限设置。

更多的讨论

Dreamhost 允许用户建立多个shell 帐户，如果你打算同其他人share 你的host 空间，或者为你的朋友提供hosting，大概就需要为他们创建shell 登录帐户。默认的，这些新建的帐户将与你自己的帐户拥有相同的group，这个默认行为提供了一定的便利性，但也似乎无法改变，需要引起注意。应该根据情况，小心的为你自己的目录和文件设置组权限，并提醒与你share 主机的朋友做好自己的组权限设置（你们在同一个group 内），权限rwxrwx--- 黄底色的部分将影响到你们之间的关系。

如果确定了一个自己认为安全的权限位，并且适合大多数情况，则可以将此权限写入默认设置，使新建的目录和文件自动拥有此设置。这通过umask 命令 实现，并将其写入自己的profile 中。在Dreamhost 此文件位于 /home/yourname/.bash_profile， 并具有如下默认设定：

umask 002