چرا سطح دسترسی امن فایل‌ها مهم‌تر از همیشه است؟
در دنیای میزبانی وب و زیرساخت ابری، یکی از رایج‌ترین راه‌های نفوذ به سرورها، بهره‌برداری از تنظیمات نادرست دسترسی فایل‌هاست. یک فایل با دسترسی ۷۷۷ (که همه کاربران اجازه خواندن، نوشتن و اجرا دارند) می‌تواند دروازه‌ای برای هکرها باشد تا اسکریپت‌های مخرب خود را اجرا کنند یا اطلاعات حساس را بدزدند. تنظیم سطح دسترسی امن فایل‌ها نه‌تنها یک اقدام پیشگیرانه است، بلکه بخشی از استانداردهای پایه امنیت سرور محسوب می‌شود.
در این مقاله، به‌صورت عملی یاد می‌گیرید که چگونه مجوزهای صحیح را برای فایل‌ها و دایرکتوری‌ها تنظیم کنید، از خطرات رایج مانند ۷۷۷ دوری کنید و با استفاده از دستور find، اصلاحات گروهی را در سریع‌ترین زمان ممکن انجام دهید. این راهنما برای مدیران سرور، توسعه‌دهندگان و هر کسی که با لینوکس کار می‌کند، مفید خواهد بود.
مبانی مجوزهای لینوکس: اعداد و معانی آن‌ها
قبل از هر چیز، باید درک دقیقی از سیستم مجوزهای لینوکس داشته باشید. هر فایل و دایرکتوری سه سطح دسترسی دارد: مالک (owner)، گروه (group) و سایر کاربران (others). برای هر سطح، سه نوع مجوز تعریف می‌شود: خواندن (r=4)، نوشتن (w=2) و اجرا (x=1). مجموع این اعداد، مقدار نهایی را می‌سازد.
- ۴ = خواندن (Read) — مشاهده محتوا
- ۲ = نوشتن (Write) — ویرایش و تغییر
- ۱ = اجرا (Execute) — اجرای فایل یا ورود به دایرکتوری
برای مثال، مجوز 755 به این معناست که مالک همه دسترسی‌ها (۴+۲+۱=۷) را دارد، گروه می‌تواند بخواند و اجرا کند (۴+۱=۵) و سایر کاربران نیز فقط خواندن و اجرا دارند (۵). این مقدار برای اکثر فایل‌های وب‌سرور مناسب است.
مقادیر استاندارد و پیشنهادی
برای تنظیم سطح دسترسی امن فایل‌ها، باید بدانید هر نوع فایل به چه مجوزی نیاز دارد:
- فایل‌های پیکربندی (مانند
wp-config.phpیا.env):600یا640— فقط مالک (و در حالت ۶۴۰، گروه) بتواند بخواند. - فایل‌های اسکریپت (PHP، Python و ...):
644— مالک می‌تواند بنویسد، دیگران فقط بخوانند. - دایرکتوری‌ها:
755— مالک دسترسی کامل دارد، دیگران می‌توانند وارد شوند و فایل‌ها را ببینند. - فایل‌های آپلود (مانند پوشه
uploads):755برای دایرکتوری و644برای فایل‌ها.
نکته مهم: اگر از PHP-FPM با کاربر جداگانه استفاده می‌کنید، ممکن است نیاز به تنظیم مالکیت (ownership) داشته باشید. در این حالت، مالک فایل باید کاربر PHP-FPM باشد و مجوز 600 برای فایل‌های حساس کافی است.
خطرات استفاده از مجوز ۷۷۷ و جایگزین‌های امن
مجوز 777 به این معناست که هر کاربری در سیستم (حتی کاربران غیرمجاز) می‌تواند فایل را بخواند، بنویسد و اجرا کند. این وضعیت در محیط‌های اشتراکی یا سرورهای عمومی، یک فاجعه امنیتی است. هکرها می‌توانند:
- فایل‌های مخرب را جایگزین فایل‌های اصلی کنند.
- اسکریپت‌های بک‌دور (Backdoor) را در پوشه‌های آپلود قرار دهند.
- اطلاعات حساس مانند رمزهای عبور یا کلیدهای API را بخوانند.
اگر فایل‌های شما به‌دلیل مشکلات آپلود یا نصب اسکریپت، به 777 تغییر کرده‌اند، باید فوراً آن‌ها را اصلاح کنید. اما به‌جای استفاده از 777، راه‌حل‌های امن‌تری وجود دارد:
- تغییر مالکیت فایل: با دستور
chown، مالک فایل را به کاربر وب‌سرور (مثلاًwww-data) تغییر دهید. - استفاده از مجوز ۷۵۵ برای دایرکتوری‌ها: این مقدار به وب‌سرور اجازه می‌دهد فایل‌ها را بخواند و اجرا کند، اما فقط مالک می‌تواند بنویسد.
- استفاده از ۶۴۴ برای فایل‌ها: اگر وب‌سرور فقط نیاز به خواندن دارد، این مقدار کافی است.
برای مثال، اگر پوشه uploads شما به‌اشتباه 777 شده است، می‌توانید آن را به‌صورت زیر اصلاح کنید:
chmod 755 /var/www/html/uploads
find /var/www/html/uploads -type f -exec chmod 644 {} \;این دستور ابتدا مجوز دایرکتوری را به 755 تغییر می‌دهد و سپس تمام فایل‌های داخل آن را به 644 تنظیم می‌کند.
اشتباه رایج: فراموش کردن فایل‌های مخفی
یکی از اشتباهات رایج در تنظیم سطح دسترسی امن فایل‌ها، نادیده گرفتن فایل‌های مخفی (مانند .htaccess یا .env) است. این فایل‌ها اغلب حاوی اطلاعات حساس هستند و باید مجوز 600 داشته باشند. برای بررسی آن‌ها از دستور زیر استفاده کنید:
ls -la /var/www/html/خروجی این دستور، تمام فایل‌ها از جمله فایل‌های مخفی را با مجوزهای آن‌ها نشان می‌دهد. اگر فایل‌های مخفی با مجوزهای باز (مانند 644 یا 777) مشاهده کردید، آن‌ها را اصلاح کنید:
chmod 600 /var/www/html/.envاصلاح گروهی مجوزها با دستور find
در سرورهای واقعی، معمولاً با صدها یا هزاران فایل مواجه هستید که باید مجوزهای آن‌ها را به‌صورت گروهی اصلاح کنید. دستور find بهترین ابزار برای این کار است. این دستور به شما امکان می‌دهد فایل‌ها را بر اساس نوع، اندازه، زمان تغییر و سایر معیارها فیلتر کنید و سپس عملیات موردنظر را روی آن‌ها انجام دهید.
اصلاح مجوز دایرکتوری‌ها و فایل‌ها به‌صورت جداگانه
یکی از بهترین روش‌ها برای تنظیم سطح دسترسی امن فایل‌ها، اعمال مجوزهای متفاوت برای دایرکتوری‌ها و فایل‌هاست. دایرکتوری‌ها باید 755 و فایل‌ها 644 باشند. با دو دستور زیر می‌توانید این کار را در کل ساختار پروژه انجام دهید:
find /var/www/html -type d -exec chmod 755 {} \;
find /var/www/html -type f -exec chmod 644 {} \;دستور اول تمام دایرکتوری‌ها را پیدا کرده و مجوز آن‌ها را به 755 تغییر می‌دهد. دستور دوم نیز همین کار را برای فایل‌ها با مجوز 644 انجام می‌دهد. این روش بسیار کارآمد است و در کمتر از چند ثانیه، کل ساختار پروژه شما امن می‌شود.
استفاده از find برای یافتن فایل‌های خطرناک
علاوه بر اصلاح مجوزها، می‌توانید از find برای شناسایی فایل‌هایی با مجوزهای خطرناک استفاده کنید. دستور زیر تمام فایل‌هایی را که مجوز 777 دارند، پیدا می‌کند:
find /var/www/html -type f -perm 777اگر خروجی این دستور خالی بود، یعنی هیچ فایل خطرناکی وجود ندارد. در غیر این صورت، می‌توانید آن‌ها را با دستور زیر اصلاح کنید:
find /var/www/html -type f -perm 777 -exec chmod 644 {} \;این دستور تمام فایل‌های با مجوز 777 را پیدا کرده و مجوز آن‌ها را به 644 تغییر می‌دهد. به همین ترتیب، می‌توانید دایرکتوری‌های خطرناک را نیز پیدا و اصلاح کنید:
find /var/www/html -type d -perm 777 -exec chmod 755 {} \;فیلتر کردن بر اساس پسوند فایل
گاهی اوقات فقط باید مجوز فایل‌های خاصی را تغییر دهید. برای مثال، اگر می‌خواهید فقط فایل‌های PHP را به 644 تغییر دهید:
find /var/www/html -type f -name "*.php" -exec chmod 644 {} \;یا اگر می‌خواهید فایل‌های اجرایی (مانند اسکریپت‌های شل) را به 755 تغییر دهید:
find /var/www/html -type f -name "*.sh" -exec chmod 755 {} \;این روش به شما کنترل دقیق‌تری بر روی فایل‌هایی می‌دهد که نیاز به مجوز اجرا دارند.
نکات پیشرفته: مالکیت و گروه‌ها
تنظیم سطح دسترسی امن فایل‌ها فقط به مجوزها محدود نمی‌شود؛ مالکیت (ownership) نیز نقش حیاتی دارد. اگر مالک فایل اشتباه باشد، حتی با مجوزهای درست، ممکن است مشکلات امنیتی ایجاد شود. برای مثال، اگر فایل‌های وب‌سرور متعلق به کاربر root باشند، وب‌سرور نمی‌تواند آن‌ها را بخواند (مگر اینکه مجوز 644 باشد).
برای تغییر مالکیت فایل‌ها و دایرکتوری‌ها به کاربر وب‌سرور (معمولاً www-data در اوبونتو یا nginx در CentOS)، از دستور زیر استفاده کنید:
chown -R www-data:www-data /var/www/htmlاما توجه داشته باشید که این کار ممکن است برای فایل‌های حساس مانند .env مناسب نباشد. در این موارد، بهتر است مالکیت را به کاربر اصلی خود بدهید و فقط مجوز خواندن را برای وب‌سرور فراهم کنید.
اشتباه رایج: استفاده از chmod -R بدون فیلتر
یکی از بزرگ‌ترین اشتباهات مدیران تازه‌کار، استفاده از دستور chmod -R 777 برای کل دایرکتوری است. این کار نه‌تنها امنیت را به‌طور کامل از بین می‌برد، بلکه ممکن است به فایل‌های سیستمی نیز آسیب بزند. همیشه از find با فیلترهای مناسب استفاده کنید تا فقط فایل‌های موردنظر تغییر کنند.
برای مثال، به‌جای دستور خطرناک زیر:
chmod -R 777 /var/www/htmlاز دستورات امن زیر استفاده کنید:
find /var/www/html -type d -exec chmod 755 {} \;
find /var/www/html -type f -exec chmod 644 {} \;این روش، سطح دسترسی امن فایل‌ها را تضمین می‌کند و در عین حال، عملکرد وب‌سرور را مختل نمی‌کند.
جمع‌بندی و بهترین روش‌ها
تنظیم سطح دسترسی امن فایل‌ها یکی از مهم‌ترین اقدامات برای محافظت از سرور شماست. با رعایت نکات زیر، می‌توانید از بسیاری از حملات رایج جلوگیری کنید:
- هرگز از مجوز
777استفاده نکنید؛ همیشه جایگزین‌های امن مانند755و644را انتخاب کنید. - فایل‌های حساس مانند
.envوwp-config.phpرا با مجوز600محافظت کنید. - از دستور
findبرای اصلاح گروهی مجوزها استفاده کنید و همیشه فایل‌ها و دایرکتوری‌ها را جداگانه مدیریت کنید. - مالکیت فایل‌ها را به‌درستی تنظیم کنید و از تغییرات غیرضروری در مالکیت فایل‌های سیستمی خودداری کنید.
- به‌صورت دوره‌ای، فایل‌های با مجوزهای خطرناک را با دستور
findجستجو و اصلاح کنید.
اگر به‌دنبال راهکاری جامع برای میزبانی وب و مدیریت سرور هستید، سرویس‌های میزبانی وب و زیرساخت ابری سرورنت می‌توانند گزینه مناسبی باشند. با این حال، صرف‌نظر از اینکه از چه سرویسی استفاده می‌کنید، رعایت اصول امنیتی که در این مقاله بررسی شد، مسئولیت اصلی شما به‌عنوان مدیر سیستم است.
با اجرای این دستورالعمل‌ها، می‌توانید اطمینان حاصل کنید که فایل‌های شما در برابر دسترسی‌های غیرمجاز محافظت می‌شوند و سرور شما در برابر حملات رایج مقاوم است. به یاد داشته باشید که امنیت یک فرآیند مداوم است، نه یک اقدام یک‌باره. بنابراین، به‌صورت منظم مجوزهای فایل‌های خود را بررسی و به‌روزرسانی کنید.