Sei que não sou o primeiro a perguntar sobre isso, mas ainda não está claro para mim. Quero dizer, emesta postagempodemos ler isso
777 é uma permissão ruim em geral e vou mostrar por quê.
Apesar de parecer em um cassino ou em Las Vegas, 777 não significa jackpot para você. Em vez disso, jackpot para quem deseja modificar seus arquivos. 777 (e seu primo feio 666) permitem permissões de leitura e gravação (e no caso de 777, execução) para outros. Você pode aprender mais sobre como funcionam as permissões de arquivo, mas resumindo, existem três grupos de permissões: proprietário, grupo e outros. Ao definir a permissão para 6 ou 7 (rw- ou rwx) para outros, você dá a qualquer usuário a capacidade de editar e manipular esses arquivos e pastas. Normalmente, como você pode imaginar, isso é ruim para a segurança. (...)
Mas no exemplo podemos ver que o outro usuário ainda está no mesmo PC. Qual é o perigo da NET? Qualquer pessoa pode acessar ou modificar seus arquivos de dados remotamente? (No meu caso, estou falando de um site ESTÁTICO.)
Responder1
SequalquerSe um programa no seu computador que se conecta ao mundo externo tiver qualquer tipo de vulnerabilidade, um intruso poderá sequestrar esse programa e fazer tudo o que for permitido. Por exemplo, mesmo se você estiver executando um site estático, pode haver vulnerabilidades no apache ou nginx ou o que quer que você esteja usando que permite que invasores enviem uma solicitação HTTP cuidadosamente elaborada que estoure um buffer ou algo assim e substitua o código desse programa está sendo executado com seu próprio código.
Se a conta na qual o servidor da Web é executado tiver permissão de gravação /var/www, um invasor poderá se virar e inserir silenciosamente malware em suas páginas da Web.
E quando explorações desse tipo são encontradas nos principais servidores web, você pode contar com o fato de que as pessoas estarão executando scripts no dia seguinte, fazendo login automaticamente em todos os servidores que encontrarem e tentando aplicar essas explorações.
Se você estiver acessando a Internet pública e houver um link para seu siteem qualquer lugar, dê uma olhada nos logs do httpaccess e você verá todos os tipos de ataques automatizados realmente estúpidos em seu servidor, como pessoas procurando uma cópia instalada do phpmyadmin e executando centenas de senhas comuns.
Por outro lado, se o servidor web for executado em uma conta que não pode gravar em nenhum local crítico do seu computador, os riscos serão bastante reduzidos.