[ERLEDIGT] Sicherheitsfrage

[Kilrathy]

Hallo zusammen

Ich verfolge dieses Projekt schon länger und habe die RCs schon getestet und bin bis jetzt sehr positiv beeindruckt.

Gestern ist mir jedoch durch ein schlecht programmiertes Gästebuch eine entscheidende Frage gekommen. Es geht darum, dass es mittels einem Fehler im GB jemandem möglich ist über die ganze Filestruktur zu gehen und ggf. Files auszulesen - ich habe es getestet und konnte somit meine /etc/passwd ausgeben lassen.

Meine Frage jetzt, ist diese Art von Fehler im ispCP möglich oder arbeiten alle einzelnen Websites in einer eigenen "chroot" Umgebung oder sowas?
Weil mir selber ist nicht bekannt, dass man dem Apache sagen darf "du darfst nicht aus /var/www gehen" oder bin ich einfach zu blöd?

Habs leider bis jetzt halt nicht testen können im ispCP, darum frag ich.

Greetz
Kilrathy

[jmeyerdo]

Hallo!

Ja, das ist auf jeden Fall möglich.

Wenn bei "ispCP" die fastcgi-Konfiguration genutzt wird, gibt es pro Webuser/Webspace eine eigene php.ini.
Und dort ist mit "open_basedir" ausgeschlossen, dass der Webuser aus dem eigenen Verzeichnis herauskommt.

Viele Grüße, Jens

[Kilrathy]

Ah, gut zu wissen!

Danke für die Info... mal sehen ob ich das auch bei meiner aktuellen Webserver Geschichte so machen kann.

Greetz

[jmeyerdo]

Kilrathy Wrote:Danke für die Info... mal sehen ob ich das auch bei meiner aktuellen Webserver Geschichte so machen kann.

Wenn Du manuell konfigurierst, kannst Du die open_basedir-Restriktion auch in den VHOST (ohne fastcgi) legen:

Code:

php_admin_value open_basedir /home/www/dir1:/home/www/dir2:/home/www/dir3

Falls das so nicht geht, müsste ggf. mit gleichem Verfahren der Safe-Mode aktiviert werden.

Viele Grüße, Jens

[rbtux]

safe_mode ist eine krücke die mit php6 abgeschafft wird. Daher würde ich für neue Server auf dies verzichten...

[joximu]

Ich würde es auch so zusammenfassen:
- safe_mode nicht benutzen
- open_basedir entweder mit fast_cgi (eigene php.ini) oder in der apache-config (bei mod_php) korrekt setzen.
- In der ispcp Grundeinstellung sind ausserdem auch einige Funktionen deaktiviert, für gewisse Applikationen müsste man diese aktivieren

- Regeln aufsetzen, nach denen du fehlerhafte Skripte ungefragt löschen darfst.... :-)

Gruss J

[Kilrathy]

joximu Wrote:- open_basedir entweder mit fast_cgi (eigene php.ini) oder in der apache-config (bei mod_php) korrekt setzen.
- Regeln aufsetzen, nach denen du fehlerhafte Skripte ungefragt löschen darfst.... :-)

Sind die open_basedir Einstellungen bei ispCP schon gesetzt oder müsste ich das noch nachholen? (Habe ich noch nicht produktiv im Einsatz)

Aber den Punkt mit der Regel gefällt mir und hatte ich nie im Kopf, werde ich aber auf jedenfall bei steuern :-)

Greetz

[joximu]

Ja, open_basedir wird gesetzt:
http://www.isp-control.net/ispcp/browser...p.ini#L217
für den master-vhost beim ispcp-setup, für die anderen beim Einrichten der Domain...

(es gilt ein Verzeichnis pro Domainkunde - also dasselbe auch für dessen Domain-Aliase und Subdomains)

jaja, die Regeln...
Sind schwierig zu programmieren - aber für irgendwas darf der Mensch auch noch nützlich sein... ;-)

Gruss Joximu

[Kilrathy]

Endlich kann ich wieder Antworte, scheiss Stress

Saubere Sache, muss ich ein bisschen weniger Angst haben vor Scriptkiddies.

Auch wieder wahr, auch wenn Regeln unschön sind, für die meisten... muss halt sein.

Gruss von nach Basel

[joximu]

Kilrathy Wrote:Gruss von nach Basel

jo waaas - en Basler :-)