Михаил Флёнов - Linux глазами хакера

или, например:

SetHandler server-status

Order deny,allow

Deny from all

Allow from .your-domain.com

Первое объявление задает права доступа к определенной директории на диске (в данном случае /var/www/html), а второе — ограничивает доступ к виртуальной директории (в приведенном примере http://servername/server-status).

Если вы знакомы с HTML (HyperText Markup Language, язык разметки гипертекста) или XML (Extensible Markup Language, расширенный язык разметки), то такое объявление будет вам известно и понятно без дополнительных разъяснений. Для тех, кто не в курсе, я сделаю несколько пояснений на примере директорий. Объявление начинается со следующей строки:

В угловых скобках указывается ключевое слово Directoryи путь к каталогу, права доступа к которому нужно изменить. Это начало описания, после которого идут команды, определяющие права. Блок заканчивается строкой:

Параметры доступа к директории могут быть описаны не только в файле /etc/httpd/conf/httpd.conf, но и в файле .htaccess, который может находиться в указанном каталоге. Сам файл требует отдельного рассмотрения ( см. разд. 7.5.1 ), а сейчас вы должны только знать, что разрешения, указанные в конфигурации Web-сервера, могут быть переопределены.

Теперь рассмотрим, как задаются права доступа. Для этого используются следующие директивы:

□ Allow from параметр— определяет, с каких хостов можно получить доступ к указанной директории. В качестве параметрможно использовать одно из следующих значений:

• all— доступ к директории разрешен всем;

• доменное имя— определяет домен, с которого можно получить доступ к директории. Например, можно указать domain.com. В этом случае только пользователи этого домена смогут получить доступ к директории через Web. Если какая-либо папка содержит опасные файлы, с которыми должны работать только вы, то лучше ограничить доступ своим доменом или только локальной машиной, указав allow from localhost;

• IP-адрес— сужает доступ к директории до определенного IP-адреса. Это очень удобно, когда у вашего компьютера есть выделенный адрес, и вы хотите обеспечить доступ к каталогу, содержащему администраторские сценарии, только для себя. Адрес может быть как полным, так и неполным, что позволяет ограничить доступ к директории определенной сетью;

• env=ИмяПеременной— доступ разрешен, если определена указанная переменная окружения. Полный формат директивы: allow from env=ИмяПеременной;

□ Deny from параметр— запрещение доступа к указанной директории. Параметры такие же, как у команды allow from, только в данном случае закрывается доступ для указанных адресов, доменов и т.д.;

□ Order параметр— очередность, в которой применяются директивы allowи deny. Может быть три варианта:

• Order deny, allow— изначально все разрешено, потом первыми применяются запреты, а затем разрешения. Рекомендуется использовать только на общих директориях, в которые пользователи могут самостоятельно закачивать файлы, например, свои изображения;

• Order allow, deny— сначала все запрещено, вслед за этим применяются разрешения, затем запрещения. Рекомендуется применять для всех директорий со сценариями;

• Order mutual-failure— исходно запрещен доступ всем, кроме перечисленных в allowи в то же время отсутствующих в deny. Советую использовать для всех каталогов, где находятся файлы, используемые определенным кругом лиц, например, администраторские сценарии;

□ Require параметр— позволяет задать пользователей, которым разрешен доступ к каталогу. В качестве параметра можно указывать:

• user— имена пользователей (или их ID), которым разрешен доступ к каталогу. Например, Require user robert FlenovM;

• group— названия групп, пользователям которых позволен доступ к каталогу. Директива работает так же, как и user;

• valid-user— доступ к директории разрешен любому пользователю, прошедшему аутентификацию;

□ satisfy параметр— если указать значение any, то для ограничения доступа используется или логин/пароль или IP-адрес. Для идентификации пользователя по двум условиям одновременно надо задать all;

□ AllowOverwrite параметр— определяет, какие директивы из файла .htaccessв указанном каталоге могут перекрывать конфигурацию сервера. В качестве параметр можно указать одно из следующих значений: None, All, AuthConfig, FileInfo, Indexes, Limitи Options;