phpmyadmin - Rechtevergabe

[stealthT]

Hallo!

phpmyadmin läuft inzwischen bei mir. Selbstverständlich wollte ich auch das root-Passwort anlegen/ändern. Dabei habe ich festgestellt, dass außer root noch andere Benutzer in der Liste verzeichnet sind. Was ist mit denen? Muss ich für die auch Passwörter anlegen? Ist das normal, dass noch weitere Benutzer auftauchen?

 

[Matthieu]

Also bei mir taucht da der root mehrfach auf, da ja von verschiedenen Quellen zugegriffen wird (die beiden Apache) und dann noch der normale Nutzer "Jeder". Was genau der macht, weiß ich nicht, aber er taucht bei mir auch auf anderen SQL-Installationen auf, wesshalb ich von einem normalen Nutzer ausgehe. So genau habe ich es mit SQL nicht am Hut.

MfG Matthieu

 

[stealthT]

Ok. Dann bin ich schon mal beruhigt. Aber wie siehts mit den Passwörtern aus? Vorsichthalber mal anlegen kann wohl nicht schaden, oder?

 

[Matthieu]

Also bei "Jeder" würde ich das sein lassen, schließlich scheint das die DS für irgendwelche anonymen Zugriffe zu nutzen. Bei mir steht hinter dem auch "No privileges", also keine Rechte. Somit könnte der eh nicht viel anrichten. Beim root ist bei mir wie gesagt das Standard-Passwort vom DSM admin drin und damit hab ich dann keine Probleme. Ich habs einfach so gelassen.

MfG Matthieu

 

[itari]

Ich habe keine Passworte im MySQL festgelegt, da nur meine PHP-Skripte lokal (localhost/127.0.0.1) damit spielen dürfen. Wer sollte denn da außer mir dann noch was machen können, so dass das per Passwort gesichert sein muss?

Itari

 

[crick]

Ich habe keine Passworte im MySQL festgelegt, da nur meine PHP-Skripte lokal (localhost/127.0.0.1) damit spielen dürfen. Wer sollte denn da außer mir dann noch was machen können, so dass das per Passwort gesichert sein muss?

Itari

Ist das Werksseitig von der DS/phpmyadmin so, dass kein externer Zugriff moeglich ist? Wenn nicht, wo stellt man das ein?

 

[itari]

Ist das Werksseitig von der DS/phpmyadmin so, dass kein externer Zugriff moeglich ist? Wenn nicht, wo stellt man das ein?

Ich glaube schon ... im phpmyadmin kann man das nachschauen (Benutzerverwaltung). Ansonsten ist ja auch der Port für den MySQL-Server (3306 oder so) nicht vom Router freigegeben, also kann da nur jemand auf den Server via lokalem bzw. im lokalen Netz liegendem Skript.

Itari

 

[stealthT]

Ach so. Dann kann standardmäßig keiner von außen auf phpmyadmin zugreifen, auch wenn das ganze auf dem Webserver liegt!? Das wusste ich nicht. Dann ist ja die Sorge unbegründet. Ich dachte, ohne Absicherung könnte Hinz und Kunz von außen drauf. Habs aber auch noch nicht getestet.

 

[itari]

Ach so. Dann kann standardmäßig keiner von außen auf phpmyadmin zugreifen, auch wenn das ganze auf dem Webserver liegt!? Das wusste ich nicht. Dann ist ja die Sorge unbegründet. Ich dachte, ohne Absicherung könnte Hinz und Kunz von außen drauf. Habs aber auch noch nicht getestet.

Das ist jetzt so eine Geschichte ... natürlich kann jeder mit phpmyadmin spielen, wenn du das Skript ganz normal im Verzeichnis /volume1/web installiert hast. Das habe ich ja nicht. Ich hab das in /usr/syno/synoman/phpsrc installiert und da darf nur der Sys-Apache dann drauf zugreifen (Port 5001) und den Port 5001 hab ich natürlich nicht im Router freigegeben.

Programme wie den phpmyadmin würde ich auch immer nur in mit .htaccess geschützen Verzeichnissen einlagern, wenn es beim Web-Provider wäre. Und ich würde natürlich keine PHP-Skripte verwenden, die nicht top abgesichert sind hinsichtlich der Datenbankzugriffe. Nur ... ein Datenbank-Passwort würde die Gefährlichkeit von PHP-Skripten kaum mildern, wenn es um den Zugriff auf die Datenbanken geht. Weil das ja ein Datenbank-Passwort ist und kein Passwort, welches man beim Anmelden an ein PHP-Skript (also für ein Forum, Blog oder CMS usw.) verwenden würde.

Itari

 

[stealthT]

Ich hab das in /usr/syno/synoman/phpsrc installiert und da darf nur der Sys-Apache dann drauf zugreifen (Port 5001) und den Port 5001 hab ich natürlich nicht im Router freigegeben.


Itari

Eine Absicherung mit .htaccess habe ich gemacht, so dass ich nur intern drauf zugreifen kann. Das ist doch dann in Ordnung, oder? Wie bekomme ich denn das Ganze in das von dir genannte Verzeichnis. Ist vermutlich wesentlich komplizierter? Hast du hierzu einen Link zu ner Erläuterung/ Erklärung/Anleitung?

 

[itari]

Ich hatte dazu nichts veröffentlicht, weil es eine sehr ähnliche Anleitung von DSL-Hexe dazu gibt, mit einem etwas anderen Verzeichnis, aber auch für den sys-Apache. Also nur der Pfad ist anders, alles andere ist genauso und auch so sicher!

*guck hier im Thread*

Wenn du das Prinzip mit den Pfades in der application.cfg verstanden hast, dann kannst das auch in ein anderes Verzeichnis schieben, was aber nicht wirklich von Bedeutung ist.

Itari