1

При попытке загрузки фото через сайт на сервере выпадает ошибка -

Can't write image data to path...

chmod не помогает.

Возможно ли сделать setenforce = 0 для отдельных папок и насколько в целом это скажется на безопасности сервера (загрузка файлов пользователями используется в проекте на выделенном сервере). Возможно есть ли вариант смены владельца папки через chown и какой пользователь и группа должны быть в этом случае?

2 ответа 2

0

Нет, нельзя. SELinix либо включен, либо выключен. И это глубоко в ядре системы зашито. Вообще же "нельзя быть немного беременной" ;)

Просто правильно расставляйте контексты, например:

chcon -R -t "httpd_sys_content_t" /www/mysite.tld./htdocs

или

chcon -R -t "httpd_sys_rw_content_t" /www/mysite.tld./htdocs

Это делается разово, если вы что-то поломали.

Разумеется, лучше делать это при помощи правила, например так:

semanage fcontext -a -t httpd_sys_content_t "/www/mysite.tld/htdocs(/.*)?"
restorecon -R /www/mysite.tld/htdocs

Вообще же, если у вас не меняется стандартное расположение document root для Centos (это /var/www) то SELinux вообще из коробки настроен. (По крайней мере, Centos 6 и 7)

PS Я разворачиваю веб-сайты через связку git + ansible и всегда разделяю каталоги на "папки с данными" (на них ставится httpd_sys_rw_content_t) и на "скрипты сервера" (на них ставится httpd_sys_content_t), это сильно усложняет попытки взлома через закачку файлов на сервер. Ну и стандартные 0644 и 0755 на файлы/папки никто не отменял.

И вообще. Судя по вопросам, вы не понимаете основ SELinux.

Есть два слоя доступа к файлам.

Базовый слой -- это установка прав chown и chmode, нужно проверять, есть ли доступ.

Но даже если права выставлены достаточно -- то есть второй слой, сам SELinux может дополнительно наложить ограничения (расширить нельзя, но можно сузить).

И вот тут в дополнение к chown+chmode вам нужно пользоваться chcon+restorecon.

1
  • Да, в целом с пониманием SELinux есть проблемы, спасибо за исчерпывающий ответ!
    – J. Doe
    4 дек 2017 в 12:55
0

Надо узнать, в какую папку попадают файлы при загрузке. Пример - укажем selinux папку, в которую разрешено из вне закачивать файлы:

chcon -R -h -t httpd_sys_script_rw_t /home/www/html/upload/files

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.