Beveiligen tegen shellscripts

[adknoth]

Hallo Allemaal,

Ik weet niet zeker of ik dit op de juiste locatie post, zo niet mijn excuses!

Ik heb een server draaien waar je via een shellscript alle gebruikers kan opvragen en dus ook bij de scripts kan. Gezien het feit dat ik hier niet erg van gediend ben wil ik dit wijzigen.

We hebben de safe mode en openbase dir standaard op ON staan.

Echter is dit niet afdoende om het tegen te gaan, nu heb ik het doorgesproken met iemand en die vertelde dat ik iets moest wijzigen in de DA templates echter wist hij niet precies wat.

Dus nu even aan de profs de vraag of die mij kunnen vertellen wat ik moet doen om shells tegen te gaan.

[Ospito]

Voorheen was het zo dat je in de map /usr/local/directadmin/data/templates/ een httpd.conf had die je naar usr/local/directadmin/data/templates//custom kon verplaatsen, hier stond dan de openbase_dir regel in met een # ervoor, was toen een kwestie van # er voor weg en de volgende commando's uitvoeren om de httpd.conf te herschrijven:

# echo "action=rewrite&value=httpd" >> /usr/local/directadmin/data/task.queue
# /usr/local/directadmin/dataskq d

Daarna Apache een herstart en klaar.

Tegenwoordig moet het zonder bovenstaande kunnen maar kan je via DirectAdmin de openbase_dir functie aan of uitzetten (per account). Wellicht dat je kan proberen die functie niet te gebruiken maar het bovenstaande.

Daarnaast is het ook verstandig om te kijken naar je disable_functions in PHP, daar kan je ook een hoop narigheid mee voorkomen.

[Teun]

Staat hier nog ergens een topic over server hardening in scripting/techniek en beveiliging, kijk daar eens naar.

Open basedir zou overigens wel degelijk toegang to alle mappen listen moeten verbieden, behalve de eigen map en tmp ofzo.

[scenestar]

Chown je shellscript als root en chmod permissies naar 644.

Als je gebruikers nu nog het bestand zouden kunnen uitvoeren via php is er hiets heel erg mis met je configuratie.