Foren / National / Russian / Идеи / Упрощение установки расширений

Историческая справка: множество дефейсов сайтов на Seditio было связано с использованием плагина TPL Editor. Данный плагин редактирует шаблоны онлайн, если PHP имеет право на запись оных. Обычно люди не заморачивались, и ставили CHMOD 777 на всё. Но если PHP является владельцем файлов, то эффект примерно тот же и без CHMOD 777. Техника взлома следующая: а) находится дырявый скрипт на сайте, позволяющий выполнять тем или иным образом произвольный пхп-код или записывать файлы; перезаписываются легкодоступные файлы шаблонов или php; б) заводится аккаунт на том же shared-хостинге, использующем глобальный пхп для всех аккаунтов, пишется скрипт, который делает что душе угодно с незащищёнными файлами соседа; в) посредством эксплоита получается непривелегированный доступ к системе, перезаписываются легкодоступные файлы.