Webmin безопасно? Я вижу коды файлов в браузере Chrome без входа
Когда я нахожусь в диспетчере файлов Webmin, я могу дважды щелкнуть мышью и увидеть коды файлов на новой вкладке в Firefox с ее конкретным URL.
Но когда я удаляю ?rand=xxxx... после file.php и вставьте URL в браузер Chrome, я все еще вижу коды.
Это URL, который я только что вставил в браузер Chrome
http://xxx.xxx.xxx.xxx:10000/file/show.cgi/var/www/html/mysite.com/files/file.php
А потом я выхожу из webmin и меняю file.php с другим файлом, я вижу коды.
Webmin безопасно? Как мне это защитить?
5 ответов
? Rand= - это кеш-прерыватель. Это случайная строка, добавляемая к URL, чтобы убедиться, что полученная страница не кэшируется. Ваша информация о сеансе / входе в систему сохраняется в браузере с помощью файлов cookie и не зависит от значения? Rand=.
Когда вы удалили часть? Rand=, вы удалили только функцию разрыва кеша из ваших запросов, однако большинство браузеров не будут кешировать это. Я полагаю, что IE 6 из коробки раньше слишком агрессивно кешировал ответы, поэтому они представили это исправление.
Ваш вебмин в порядке. Я уверен, что все это связано с информацией о сеансе, хранящейся в базе данных, которую использует webmin.
Ваш сервер так же безопасен, как и вы. Хотя webmin снимает с вас большую нагрузку, чтобы обезопасить вашу систему, все же целесообразно "делать это долго" и время от времени проверять ваши журналы.
Ключевое слово здесь для webmin - "web", что означает, что информация хранится как в вашем браузере в виде файлов cookie, так и на вашем сервере в качестве данных сеанса. Кроме того, если вы используете SSL для webmin (что, должно быть, imho), тогда все ваши данные зашифрованы с тем же количеством битов, на которых зашифрованы ваши сертификаты SSL.
Один из способов удалить сохраненный сеанс из этого уравнения - попытаться перейти непосредственно к этому URL-адресу с компьютера, который ранее не входил в Webmin. Если вы все еще можете получить доступ к файлу, у вас могут возникнуть проблемы.
Если вы используете webmin gpl, вы можете посмотреть на источник и посмотреть, безопасен ли он для вас (а также спросить здесь мнение других). Если это webmin pro, вы можете позвонить в службу поддержки и убедиться, что вы не нашли ошибку.
Webmin - это инструмент для администрирования вашего сервера. Вы должны разрешить доступ к нему только администраторам сервера. Думайте об этом как о доступе по FTP/SSH - он позволяет людям получать доступ к вашему серверу и вносить изменения в файлы, содержащиеся на нем.
Файловый менеджер в Webmin предоставляет те же функции, что и доступ по FTP. Так же, как вы видите код PHP ваших файлов, используя FTP, вы увидите их с помощью Webmin. Имеет ли это смысл?