Apache - intrebări simple

Nu reușesc să navighez în afara (deasupra) directorului rădăcină Apache. Menționez că am eliminat toate directivele de securitate. Am setat totul pe allow/granted.
În afară de alias și symlink, mai există altă cale de a ieși din directorul rădăcină?

Dacă încerc în browser: www.siteulmeu/../../../ rămîn tot în directorul rădăcină, nu pot urca deasupra.

Menționez că am o pagină simplă, html chior, atît.

De ce ai vrea sa faci o asemenea cretinatate tampenie? Directiva tine de basedir.

Pai ia gandeste-te ce anume ai accesa, hai sa luam un exemplu:

http://domain.tld/parinte/copil/ <--- asta e level2 samd
http://domain.tld/parinte/ <--- asta e level1
http://domain.tld/ <-- asta e basedir
Urmatorul nivel unde ar fi?! De aceea exista un DocRoot, nu poti "naviga" in afara lui, seteaza docroot un nivel mai sus.

Doresc să fac asta strict pentru teste.

Am observat pe multe situri că este recomandată următoarea directivă:
<Directory />
   Options None
   Order deny,allow
   Deny from all
</Directory>

Am scris și eu asta în config și gata, eram bucuros, nimeni nu-mi poate accesa fișiere în afară DocRoot pe care setasem explicit permisiuni. Am făcut apoi un simlink în apache DocRoot ce pointa către / și surpriză - mă plimb prin tot sistemul de fișiere bine - merci.
Din asta mi-am dat seama că directiva de mai sus este vax. Dacă cineva poate crea doar un simlink, securitatea serverului este compromisă (cel puțin așa am înțeles eu).

Mergînd pe această cale am încercat să ies din DocRoot altfel decît printr-un link făcut de mine și n-am reușit nicicum.


Eu știu că pentru securizare este recomandat să fie dezactivate simlink-urile și avut mare grijă cu alias-urile (prin astea cineva ar putea ieși oricînd din rădăcină).  Ceea ce vreau eu să știu, este: odată dezactivate simlink-urile și alias-urile dorm liniștit sau sunt și multe alte căi prin care se poate ieși din rădăcină.

Subliniez: fără cgi, fără php, fără java, fără nimic. Html simplu.

Edited by victor444, 03 August 2015 - 22:03.

Ce rost are directiva de mai sus, care restricționează accesul pe / ? Este folosită doar pentru a permite acces selectiv în interiorul DocRoot (sau pentru ramuri adăugate ulterior la DocRoot și situate relativ sub DocRoot), pentru directoare aflate la același nivel?

Ce rost are să restricționez accesul pe / dacă oricine care care accesează un simlink undeva in DocRoot, poate ulterior accesa orice folder din  '' / '' ?

Daca e posibil, rog să clarifice cineva. Mulțumesc.

Edited by victor444, 03 August 2015 - 22:06.