Nunca he creído en la seguridad por oscuridad, es decir, si nadie sabe donde está el punto débil, nadie puede atacarlo. De ser cierta esa aproximación Windows debería de ser el sistema operativo más seguro del planeta, y sin embargo ese no es el caso. Por eso es que yo creo en la política de que muchos ojos pueden detectar los errores más fácilmente y corregirlos en cuánto se detecten.

Últimamente he visto en varios de los websites que hosteo en mi servidor un alarmente aumento de hacking exitoso, aunque muchas veces se debe a problemas de uso, más que a problemas del servidor en sí. Es muy común sobre todo si se hace uso de CMS como puede ser Joomla o WordPress, el tener directorios con privilegios 777 (osea acceso total) que son accesibles directamente via web, para permitir al control panel del CMS instalar themes o plugins, ésto que puede resultar tremendamente cómodo para el usuario, es ciertamente un gran riesgo de seguridad para la aplicación en sí; pues aprovechando esa facilidad cualquiera puede escribir sobre dichos directorios, para luego hacer que el server haga otras cosas.

A veces no es necesario que exista ese error en la configuración de privilegios, un CMS no actualizado y no parchado abre la puerta a otro tipo de ataques como inyección de código a través de SQL (MySQL en muchos casos), y otro tipo de ataques, he encontrado un website llamado milworm, donde como su nombre lo indica hay miles de troyanos y exploits para todas las plataformas (Linux/Windows), además de tutoriales (muchos de ellos en video), que muestran como hacer hacking de aplicaciones web.

Recomiendo que se den una vuelta por dicho website, especialmente si son webmasters o tienen a su cargo algún servidor web y vean por Uds. mismos lo fácil que es hackear un website, y se entienda que la seguridad no es un objetivo a cumplir, sino por el contrario es una filosofía de vida, especialmente si uno se dedica al diseño o administración de websites.

Una forma mucho más segura de permitir el que se suba contenido a directorios publicamente accesibles a través del web server, es usar el FTP (que requiere validación al menos), y si uno es paranoico o se tiene información realmente valiosa usar el sFTP, para ello hay que re-escribir nuestros scripts para hacer uso de dichas funciónes ftp, o alterar el código de nuestro CMS para no usar un simple HTTP/POST para subir archivos al server, sino hacerlo valiendonos de un protocolo que requiera validación como lo es el FTP.

UPDATE: Buscando en diversos websites encontre que los grandes proveedores de contenido social como LiveJournal, Blogger, Vox, etc., pues sencillamente tienen una red de servidores de almacenamiento estático que no corre ningun script sólo sirve de almacenmiento para los videos, fotos, archivos mp3, etc.; y se accede a ellos a través del protocolo WebDAV, lo cuál me parece una idea bastante interesante para explorar.