Fichier config.php accessible en écriture

Fichier config.php accessible en écriture

par mimi nom,
Nombre de réponses : 7

Bonjour,

En visualisant la page panorama de sécurité, certains avertissements apparaissent parmi eux l'avertissement concernant le fichier config.php. J'ai exécuté la commande ls-l pour vérifier les permissions du dossier moodle ainsi que du fichier config.php, j'ai eu les résultats suivants:



drwxr-xr-x 45 www-data www-data pour le dossier moodle

-rw-r--r-- 1 www-data www-data pour le fichier config.php

En lisant la documentation de moodle, il est écrit que pour sécuriser le dossier moodle ainsi que les fichiers qu'il contient (config.php) il est recommandé d'avoir les permissions suivantes: 

owner: root
group: root
permissions: 755 on directories, 644 on files.
Je ne m'y connais pas trop en permissions alors je voudrai savoir qu'est ce qui cloche dans mes permissions.


Merci pour votre aide.

Moyenne des évaluations  -
En réponse à mimi nom

Re: Fichier config.php accessible en écriture

par mimi nom,

Bonjour,

Je me suis un peux documenter sur les permissions des dossiers et fichiers dans Linux. Il est dit que le propriétaire et le groupe du dossier moodle ainsi que ses sous dossiers et fichiers doivent être l'administrateur root alors que moi c'est l'utilisateur du serveur web (www-data).

les commande pour changer cela sont: 

# chown -R root /path/to/moodle
# chmod -R 0755 /path/to/moodle
Je voudrai savoir si j’exécute ces commandes pour changer le propriétaire et le groupe de mon dossier moodle, je ne risquerai pas de perdre l'accès à moodle et les autres utilisateurs aussi.


Merci pour votre aide

Moyenne des évaluations  -
En réponse à mimi nom

Re: Fichier config.php accessible en écriture

par Séverin Terrier,
Avatar Documentation writers Avatar Moodleurs particulièrement utiles Avatar Testeurs Avatar Traducteurs

Bonjour,

Effectivement, il vaut mieux que ce soit le "serveur web" qui ait accès aux fichiers plutôt que "root".

Je pense donc que tu peux te contenter de la deuxième ligne, qui permet d'affecter les droits, et donc juste lancer : 

chmod -R 0644 /path/to/moodle
ou 

chmod -R 0755 /path/to/moodle
Séverin

Moyenne des évaluations  -
En réponse à Séverin Terrier

Re: Fichier config.php accessible en écriture

par mimi nom,

Bonjour,

Apparemment, on a répondu au même moment, j'ai envoyé mon message avant de voir le votre.

Mais d'après la documentation de Moodle en français et même en anglais, le propriétaire et le groupe du dossier moodle ainsi que ses sous dossiers et fichiers doivent être l'administrateur root et surtout pas l'utilisateur du serveur web dans mon cas c'est www-data. et effectivement, quand j'ai changé le propriétaire et le groupe www-data par root l'avertissement a disparu.


Voici les liens vers la documentation d'en je me suis servi:

https://docs.moodle.org/2x/fr/Installation_de_Moodle (aller à la section Sécurisez les fichiers Moodle)

https://docs.moodle.org/27/en/Installing_Moodle (aller à la section Secure the Moodle files)

https://docs.moodle.org/27/en/Security_recommendations#Most_secure.2Fparanoid_file_permissions (aller à la section

Most secure/paranoid file permissions

)


Moyenne des évaluations  -
En réponse à mimi nom

Re: Fichier config.php accessible en écriture

par Séverin Terrier,
Avatar Documentation writers Avatar Moodleurs particulièrement utiles Avatar Testeurs Avatar Traducteurs

Re-bonjour,

Effectivement, si on est (un peu) paranoïaque, et que l'on possède les droits root sur le serveur, on peut se permettre de le définir comme utilisateur : c'est encore plus sécurisé !

Mais dans la plupart des cas ou l'utilisateur n'a pas les droits root, soit il ne pourrait pas faire ce changement, soit il perdrait la possibilité de modifier ses fichiers après coup.

Séverin

Moyenne des évaluations  -
En réponse à Séverin Terrier

Re: Fichier config.php accessible en écriture

par mimi nom,

Ok d'accord, merci de me le confirmer 

Bonne journée.

Moyenne des évaluations  -
En réponse à mimi nom

Re: Fichier config.php accessible en écriture

par mimi nom,

L'avertissement a disparu, j'ai simplement changé le propriétaire et le groupe du dossier moodle ainsi que tous son contenu. Maintenant le propriétaire ainsi que le groupe est le compte administrateur root, avant c'était www-data. pour faire ça, j'ai exécuté la commande 

chown -R root /path/to/moodle
Je l'ai d'abord testé sur une sauvegarde.

PS: chown veut dire change owner

Moyenne des évaluations  -