+- ispCP - Board - Support (http://www.isp-control.net/forum)
+-- Forum: ispCP Omega International Area (/forum-22.html)
+--- Forum: German Corner (/forum-26.html)
+---- Forum: Archiv (/forum-54.html)
+---- Thread: [ERLEDIGT] Sicherheitsfrage (/thread-2238.html)
Pages: 1 2
[ERLEDIGT] Sicherheitsfrage - Kilrathy - 01-25-2008 07:17 PM
Hallo zusammen
Ich verfolge dieses Projekt schon länger und habe die RCs schon getestet und bin bis jetzt sehr positiv beeindruckt.
Gestern ist mir jedoch durch ein schlecht programmiertes Gästebuch eine entscheidende Frage gekommen. Es geht darum, dass es mittels einem Fehler im GB jemandem möglich ist über die ganze Filestruktur zu gehen und ggf. Files auszulesen - ich habe es getestet und konnte somit meine /etc/passwd ausgeben lassen.
Meine Frage jetzt, ist diese Art von Fehler im ispCP möglich oder arbeiten alle einzelnen Websites in einer eigenen "chroot" Umgebung oder sowas?
Weil mir selber ist nicht bekannt, dass man dem Apache sagen darf "du darfst nicht aus /var/www gehen" oder bin ich einfach zu blöd?
Habs leider bis jetzt halt nicht testen können im ispCP, darum frag ich.
Greetz
Kilrathy
RE: Sicherheitsfrage - jmeyerdo - 01-25-2008 07:19 PM
Hallo!
Ja, das ist auf jeden Fall möglich.
Wenn bei "ispCP" die fastcgi-Konfiguration genutzt wird, gibt es pro Webuser/Webspace eine eigene php.ini.
Und dort ist mit "open_basedir" ausgeschlossen, dass der Webuser aus dem eigenen Verzeichnis herauskommt.
Viele Grüße, Jens
RE: Sicherheitsfrage - Kilrathy - 01-25-2008 07:39 PM
Ah, gut zu wissen!
Danke für die Info... mal sehen ob ich das auch bei meiner aktuellen Webserver Geschichte so machen kann.
Greetz
RE: Sicherheitsfrage - jmeyerdo - 01-25-2008 07:45 PM
Kilrathy Wrote:Danke für die Info... mal sehen ob ich das auch bei meiner aktuellen Webserver Geschichte so machen kann.
Wenn Du manuell konfigurierst, kannst Du die open_basedir-Restriktion auch in den VHOST (ohne fastcgi) legen:
Code:
php_admin_value open_basedir /home/www/dir1:/home/www/dir2:/home/www/dir3Viele Grüße, Jens
RE: Sicherheitsfrage - rbtux - 01-25-2008 08:54 PM
safe_mode ist eine krücke die mit php6 abgeschafft wird. Daher würde ich für neue Server auf dies verzichten...
RE: Sicherheitsfrage - joximu - 01-26-2008 12:59 AM
Ich würde es auch so zusammenfassen:
- safe_mode nicht benutzen
- open_basedir entweder mit fast_cgi (eigene php.ini) oder in der apache-config (bei mod_php) korrekt setzen.
- In der ispcp Grundeinstellung sind ausserdem auch einige Funktionen deaktiviert, für gewisse Applikationen müsste man diese aktivieren
- Regeln aufsetzen, nach denen du fehlerhafte Skripte ungefragt löschen darfst.... :-)
Gruss J
RE: Sicherheitsfrage - Kilrathy - 01-27-2008 07:55 PM
joximu Wrote:- open_basedir entweder mit fast_cgi (eigene php.ini) oder in der apache-config (bei mod_php) korrekt setzen.
- Regeln aufsetzen, nach denen du fehlerhafte Skripte ungefragt löschen darfst.... :-)
Sind die open_basedir Einstellungen bei ispCP schon gesetzt oder müsste ich das noch nachholen? (Habe ich noch nicht produktiv im Einsatz)
Aber den Punkt mit der Regel gefällt mir und hatte ich nie im Kopf, werde ich aber auf jedenfall bei steuern :-)
Greetz
RE: Sicherheitsfrage - joximu - 01-27-2008 09:23 PM
Ja, open_basedir wird gesetzt:
http://www.isp-control.net/ispcp/browser/trunk/configs/fcgi/parts/php5/php.ini#L217
für den master-vhost beim ispcp-setup, für die anderen beim Einrichten der Domain...
(es gilt ein Verzeichnis pro Domainkunde - also dasselbe auch für dessen Domain-Aliase und Subdomains)
jaja, die Regeln...
Sind schwierig zu programmieren - aber für irgendwas darf der Mensch auch noch nützlich sein... ;-)
Gruss Joximu
RE: Sicherheitsfrage - Kilrathy - 01-30-2008 03:46 AM
Endlich kann ich wieder Antworte, scheiss Stress
Saubere Sache, muss ich ein bisschen weniger Angst haben vor Scriptkiddies.
Auch wieder wahr, auch wenn Regeln unschön sind, für die meisten... muss halt sein.
Gruss von nach Basel
RE: Sicherheitsfrage - joximu - 01-30-2008 05:35 AM
Kilrathy Wrote:Gruss von nach Basel
jo waaas - en Basler :-)