我有一个可能很简单的问题 - 但我现在无法理解它。我在我的 Ubuntu 10.04LTS 虚拟服务器上托管了一些站点，在所有这些站点（Drupal 6）上，我可以直接访问 /sites（包括 modules 目录）下（包括）下的任何文件夹。
[edit] 我刚刚意识到我可以转到任何文件夹 - 即 /includes 以及...[/edit]
我不记得这是正常的，而且我可以进入 /sites/default 文件夹似乎存在安全风险 - 尽管我可能只是偏执。
谁能确认这是否正常，如果不是，请指出我的问题的根源是什么？
干杯
史蒂夫
【问题讨论】：
标签： drupal-6 ubuntu-10.04
我发现了问题 - 它是双重的：
首先，由于某种原因，我的 .htaccess 文件（由 Drupal 生成）在某些网站上丢失了（我认为这可能是相关网站的根文件夹的权限问题）。
其次，我在每个站点的配置文件中都有一个狡猾的规则，无论如何都覆盖了 .htaccess 文件 - 这将教我从网络博客复制粘贴...找到 mod_rewrite 的正确布局Drupal 站点本身的部分。
这是一个奇怪的问题，花了一些时间才找到，但现在已经排序了
【讨论】：
你不是偏执，你是对的，如果你的 /sites/default 目录被暴露了，你的 settings.php 文件也是如此，它包含你的数据库连接信息（主机、用户名、密码）。 由于您必须为 Drupal 创建的 mysql 用户具有 DROP TABLE 权限，因此暴露您的数据库不仅意味着渗透可以显示数据，而且还允许渗透破坏您的数据库。
【讨论】：