Дедик.ру | выделенный сервер.

Dedicated - выделенный сервер или просто дедик. Платные и бесплатные панели для дедика. Безопасность выделенного сервера.

Опрос

Пользуетесь ли вы услугами удаленных сисадминов?

Да, постоянно

19%

Да, если возникают какие-то проблемы

10%

Нет, только запрашиваю консультации

24%

Нет, вообще не пользуюсь

43%

Свой вариант, напишу в комментариях

Всего голосов: 21

Статистика

Спонсоры сайта

Предлагаем онлайн мужские журналы читать на нашем сайте. ; Весь монтаж скс смета и многое другое повышает стабильность работы компании в целом.

Поиск

Вход для пользователей

Сбор новостей

Защищаем сервер от взлома через upload

В последнее время развелось множество любителей взлома через директорию upload, которые взламывают соседей по серверу.

Немного теории о том, как это происходит и как от этого защититься.

Злоумышленник размещает на сервере свои скрипты, которые получают список домашних директорий пользователей и начинают поиск директорий для upload, где разрешена запись всем.
Найдя такие директории, они закачивают туда свои скрипты и через них производят попытку взлома.

Защита от подобных действий так же проста, как и сама уязвимость, - достаточно запретить запуск скриптов в таких директориях. Однако пользователи этого не делают.

Для решения этой проблемы нами был разработан и протестирован на FreeBSD следующий скрипт, который рекурсивно обходит пользовательские директории и создает .htaccess файл, отключающий исправление скриптов:

#!/bin/sh HOME=/home NOBODY=nobody


htaccess () {

cat << EOF >> "$j/.htaccess"
RemoveType php

Options -ExecCGI -Indexes

EOF

}
fixupload () {

if [ -e "$j/.htaccess" ]; then

    if [ -z "`grep RemoveType "$j/.htaccess"`" ]; then

    htaccess

    fi

else

    htaccess

    chown $i:$i "$j/.htaccess"

fi

}

cd $HOME for i in *; do if [ -d $i/public_html ]; then # Fix 777 upload for j in `find $i/public_html -type d -perm 777`; do fixupload done # Fix 775 nobody upload for j in `find $i/public_html -type d -perm 775 -group $NOBODY`; do fixupload done # Fix 755 nobody upload for j in `find $i/public_html -type d -perm 775 -user $NOBODY`; do fixupload done fi done

Вам нужно только изменить значение двух переменных, указав расположение домашних директорий пользователей и пользователя, из-под которого запускается веб-сервер Apache.

От admin в 15 Мар 2006 - 12:20
Будь защищен
Войдите или зарегистрируйтесь, чтобы получить возможность отправлять комментарии

Настройки просмотра комментариев

Выберите нужный метод показа комментариев и нажмите "Сохранить установки".

А собрать апач с

А собрать апач с поддержкой suexec разве не решает такие проблемы?

От liliputik (не проверено) в 21 Май 2006 - 22:49
Войдите или зарегистрируйтесь, чтобы получить возможность отправлять комментарии

Решает, но созда

Решает, но создает две новые - возможность доступа ко всему диску и повышенное потребление ресурсов.

От admin в 22 Май 2006 - 07:34
Войдите или зарегистрируйтесь, чтобы получить возможность отправлять комментарии

а safemode?

От liliputik (не проверено) в 22 Май 2006 - 10:43
Войдите или зарегистрируйтесь, чтобы получить возможность отправлять комментарии

Тогда уже проще

Тогда уже проще вообще php убрать :)

От admin в 23 Май 2006 - 11:47
Войдите или зарегистрируйтесь, чтобы получить возможность отправлять комментарии

Это не проблема ;)

Возможность доступа ко всему диски в *nix решена изначально. На сервере нет доступа на запись для обычных юзеров.

А касетельно доступа на чтение, например, /etc - так их можно и через перл прочитать.

Реально проблемой является некоторое снижение производительности...

От ISProHosting в 24 Май 2006 - 22:40
Войдите или зарегистрируйтесь, чтобы получить возможность отправлять комментарии

В случае mod_php - з

В случае mod_php - запись на диск есть. В случае phpsuexec записи на диск нет, но производительность значительно падает.

От admin в 25 Май 2006 - 08:31
Войдите или зарегистрируйтесь, чтобы получить возможность отправлять комментарии

на самом деле за

на самом деле запись разрешена в /tmp например :)
Да и вообще следить за всем диском сложно. На секлабе проскакивают иногда сообщения о неправильной установке прав на файл/директорию в каком-нибудь из пакетов. Поставишь так какой-нибудь пакет (или с исходников соберешь что-то), а там в какой-нибудь подпапке /var/ запись для всех установлена. Вот и всё, забьет хакер весь раздел мусором, а последствия - почта не принимается, логи не пишутся...
Тут надо весь апач в чрут ложить, и так в любом случае надо делать, я думаю - оно так правильней.

А производительность? Я не замерял, но по идее кэш должен частично решать эту проблему. И к тому же процессы апача не будут так жиреть, как при mod_php. Так что тут х.з. на сколько копеек выигрывает mod_php у suexec :=)

От liliputik (не проверено) в 25 Май 2006 - 05:38
Войдите или зарегистрируйтесь, чтобы получить возможность отправлять комментарии

О том, что есть п

О том, что есть по крайней мере два способа запретить запуск чего-либо в /tmp Вы наверно незнаете. О том, что есть масса скриптов и утилит, которые занимаются поиском и устранением неправильных прав на директории и файлы - вероятно тоже.

Апач в чрут незачем ложить - это одна из первых ошибок, которую совершают начинающие.

Кеш не решит проблему, вся проблема - в исполнении скриптов. На которые mod_php берет значительно меньше ресурсов чем phpsuexec.

А сравнить потерю производительности очень просто - поставим две любые одинаковые cms на сервер с mod_php и phpsuexec, затем запустим бенчмарк - преимущество явно не в пользу phpsuexec, так как на каждый коннект запускается php который весит куда больше чем apache с mod_php

От admin в 25 Май 2006 - 08:35
Войдите или зарегистрируйтесь, чтобы получить возможность отправлять комментарии

> О том, что есть

Запись в /tmp можно запретить с помощью openbasedir директивы, установив в качестве временной диретктории $HOME/tmp

Апач чрутить просто нет смысла, это будет только лишняя трата ресурсов.

От liliputik (не проверено) в 27 Май 2006 - 08:30
Войдите или зарегистрируйтесь, чтобы получить возможность отправлять комментарии

После запуска срипта!

После запуска срипта срипт запускается
server1# ./upload.cgi
'

там де ' значит он стоит ну ка бы выполняется и виснит и так он стоит очень долго в Home очень много юзеров более 300 это может быть из-за этого?
Ждал 3 часа но на так и не закончилась!

От Services (не проверено) в 28 Июн 2006 - 19:27
Войдите или зарегистрируйтесь, чтобы получить возможность отправлять комментарии

Ждите, он провер

Ждите, он проверяет все директории пользователей

От admin в 29 Июн 2006 - 10:36
Войдите или зарегистрируйтесь, чтобы получить возможность отправлять комментарии

На линухе єтот с

На линухе єтот скрипт не работает :(

От Гость (не проверено) в 11 Сен 2006 - 23:59
Войдите или зарегистрируйтесь, чтобы получить возможность отправлять комментарии

Работает. Испол

Работает. Используйте bash в качестве shell'a

От admin в 12 Сен 2006 - 06:24
Войдите или зарегистрируйтесь, чтобы получить возможность отправлять комментарии

Прошу объяснить

Прошу объяснить как запретить запуск скриптов из директории /tmp на linux

До меня не доходит. Часто вижу, как у меня в /tmp от имени апача запущены скрипты для шелла. висят, пока вручную их не удалю придя на работу.

От Гость (не проверено) в 21 Сен 2006 - 18:16
Войдите или зарегистрируйтесь, чтобы получить возможность отправлять комментарии

Смонтировать /tmp

Смонтировать /tmp с nosuexec, поставить grsecurity и установить TPE для пользователя apache.
Самое надежное - заказать basic security у esupport.org.ru - это стоит всего 50$ и решает более широкий комлекс задач чем запрет запуска из /tmp

От admin в 22 Сен 2006 - 06:39
Войдите или зарегистрируйтесь, чтобы получить возможность отправлять комментарии

про запуск из /tmp

про запуск из /tmp имелось ввиду? nosuid,noecxec на раздел? Ок, а в чем проблема хакеру найти директорию куда он может записать свой скрипт, это же проще простого найти свою же директорию от которой работает апач просто указываем "~httpd/" (если апач стартует от httpd). Далее, он размещает туда свой скрипт и оттуда его запускает. И никакой /tmp даром не нужен.

От Гость (не проверено) в 21 Сен 2006 - 20:07
Войдите или зарегистрируйтесь, чтобы получить возможность отправлять комментарии

После чего мы зн

После чего мы знаем откуда ноги растут. А в случае с tmp - нет.

От admin в 22 Сен 2006 - 06:40
Войдите или зарегистрируйтесь, чтобы получить возможность отправлять комментарии

Последние комментарии

blacklist dedicatesales.com
11 часов 28 минут назад
интересно
4 дня 20 часов назад
Спасибо за
4 дня 20 часов назад
спасибо
9 недель 16 часов назад
спасибо
9 недель 16 часов назад
В мире
9 недель 3 дня назад
Географические
9 недель 3 дня назад
Полезное
9 недель 3 дня назад
ccproxy тоже вариант
11 недель 4 дня назад
Длинношерстные
25 недель 3 дня назад

Сейчас на сайте

Сейчас на сайте 0 пользователей и 40 гостей.