Bekijk Volledige Versie : Plesk Security Bug - Andermans directories kunnen lezen
Caspar Gomez
23/12/07, 23:11
Ik ben bezig geweest met het proberen van het uitbuiten van server-security op Plesk-servers.
Echter ben ik gewoon in staat /var/www/vhosts/anderdomein.nl/httpdocs/ e.d. directory-lijsten te kunnen printen.
Valt dit te beveiligen?
open_basedir restricties opleggen?
Caspar Gomez
23/12/07, 23:42
Die zijn al opgelegd.
safe mode staat nog steeds aan?
Caspar Gomez
24/12/07, 14:36
Yes, safemode staat gewoon aan.
Ik kan best een illustratie geven via een FTP-account. Er wordt niets gedaan met safemode-restrictie en/of openbase-dir.
Caspar Gomez
25/12/07, 21:33
Erg jammer dat je op alle Plesk servers gewoon bij andermans directories kunt afkijken, zelfs als openbase-dir aan staat.
heb je openbase_dir ook goed geconfigureerd? Alleen op On zetten in php.ini is niet voldoende.
Caspar Gomez
26/12/07, 00:25
Ja absoluut, geef me een username en password van FTP en ik zal je laten zien dat ik je zo een lijst van domeinen kan geven op een willekeurige Plesk-server met openbase-dir correct ingesteld. (/var/www/vhosts/ lijst)
GlobalServe
26/12/07, 10:34
Kan je misschien iets laten weten hoe je dat doet.
Dan kan ik hier zelf eens testen.
systemdeveloper
26/12/07, 10:58
ftp chrooten is misschien wel handig in dit geval. Ik heb geen flauw idee hoe de beveiliging er nu uitziet, maar er zijn erg veel verschillende manieren om bepaalde informatie in te zien, al dan niet met een omweggetje.
Ik werk zelf niet met plesk, maar uitgaande van het hetgeen je zegt (inloggen met ftp, toegang tot andere directories e.d.) denk ik dat een chroot ftp en een chmod/chown op die /var/www/vhosts/ directory de boel wel iets minder openbaar kan maken ;)
Triloxigen
26/12/07, 13:18
Erg jammer dat je op alle Plesk servers gewoon bij andermans directories kunt afkijken, zelfs als openbase-dir aan staat.
Hoe kom je erbij dat dit op _alle_ plesk servers is? Dit is echt onzin..
Caspar Gomez
26/12/07, 13:50
Hoe kom je erbij dat dit op _alle_ plesk servers is? Dit is echt onzin..Ik weet het niet 100% zeker, maar zover ik kon testen.
-> Je kon alle directories inlezen binnen /var/www/ bijvoorbeeld (safemode aan, openbase stond op eigen dir, dus /var/www/vhosts/google.nl/httpdocs/)
-> Files andere mensen waren niet in te lezen
Dus PM me gerust een username en wachtwoord, zou graag willen testen of het mogelijk is. Ik zal geen ongewenste gegevens verder verspreiden.
Code zal ik straks even plaatsen.
Triloxigen
26/12/07, 14:18
Ik weet 100% zeker dat het niet op alle plesk servers is, op onze servers is het zeker niet ;)
En een account komt alleen beschikbaar bij een bestelling (wat op zich al een veiligheids risico verminderd).
Warning: opendir() [function.opendir]: SAFE MODE Restriction in effect. The script whose uid is X is not allowed to access /var/www/ owned by uid XX
En FTP;
Response: 550 /var/www/: No such file or directory
Error: Could not retrieve directory listing