安全：探索共享主機與基本shell帳戶

Question

你好o只是注意到，與我共享主機上的SHELL帳戶我可以列出所有當前活動的PHP會話基本上（我可以列出他們通過LS ../../tmp）。

另外我也可以列出所有用戶（雖然沒有密碼）

這是正常的嗎？

Answer 1

列出活動會話文件不同於能夠讀取實際文件本身的內容，第一個是cons of shared hosting，第二個是服務器配置錯誤。

文件/etc/passwd不再存儲安全敏感信息，僅允許用戶查看自己的數據，因此需要公開可讀。密碼存儲在shadow文件中，這些文件不是世界可讀的。