Bekijk Volledige Versie : mod_ruid2 directory permissies
Flabbergasted
28/12/18, 17:28
Mijn server is net geupgrade naar PHP7, apache2.4 en daarbij is ook mod_ruid2 geinstalleerd. Doordat hierdoor httpd loopt als user ipv apache, heeft deze bij een vulnerability toegang tot de complete user directory, en in dit geval ook tot de andere websites, omdat alle websites draaien onder 1 user.
Op dit moment zijn de permissies:
user:user 755 /home/user/
user:user 755 /home/user/domains/
user:user 755 /home/user/domains/domain1.com/
user:user 755 /home/user/domains/domain1.com/public_html/
user:user 755 /home/user/domains/domain1.com/public_html/no_need_for_writing/
user:user 755 /home/user/domains/domain1.com/public_html/needs_to_be_writable_by_apache/
user:user 755 /home/user/domains/domain2.com/public_html/
user:user 755 /home/user/domains/domain2.com/public_html/no_need_for_writing/
user:user 755 /home/user/domains/domain2.com/public_html/needs_to_be_writable_by_apache/
De 'needs_to_be_writable...' dirs waren voorheen eigendom van apache:apache. Hoe kan ik het beste de permissions instellen om schade tgv vulnerabilities te verkleinen, of zijn er andere mogelijkheden?
en in dit geval ook tot de andere websites, omdat alle websites draaien onder 1 user.
Er is maar 1 nette oplossing en dat is losse gebruikers aanmaken.
Ramon Fincken
28/12/18, 19:48
Er is maar 1 nette oplossing en dat is losse gebruikers aanmaken.
Amen. Iedere site zijn eigen DA account .
Dus NIET meerdere accounts met 1 inlog.
Flabbergasted
28/12/18, 23:17
Dank, dat vermoedde ik al. Neemt niet weg dat ik dan nog altijd de apache user niet kan beperken tot bepaalde dirs binnen een site. Kan dat ook met ruid2? Ik heb geprobeerd om
RUidGid apache apache in te stellen, maar dan kan apache - zelfs bij een site met alleen een html-bestand - helemaal niets meer vinden.
Dank, dat vermoedde ik al. Neemt niet weg dat ik dan nog altijd de apache user niet kan beperken tot bepaalde dirs binnen een site. Kan dat ook met ruid2? Ik heb geprobeerd om
RUidGid apache apache in te stellen, maar dan kan apache - zelfs bij een site met alleen een html-bestand - helemaal niets meer vinden.
Waarom wil je de apache gebruiker nog toegang geven? Dat is namelijk niet meer nodig en zou het juist onveiliger maken.
Flabbergasted
29/12/18, 10:34
Waarom wil je de apache gebruiker nog toegang geven? Dat is namelijk niet meer nodig en zou het juist onveiliger maken.
Ook in de situatie dat apache als user alleen binnen public_html van de eigen site rechten heeft, kan het die gehele website wissen. Ik zou dus graag ook binnen een site de rechten van apache willen beperken tot een paar directories. Ik kan dan ook makkelijker zoeken naar hackscripts omdat deze eigendom zijn van de apache user.
Volgens mij lees je ju5t zijn bericht niet "goed", waarom zou je uberhaupt nog apache/httpd/www-data rechten willen geven binnen je user account. Het is juist de bedoeling om alles wat binnen je user(account) staat ook als die user te runnen, anders ontgaat mij het nut om alles in afzonderlijke users/cages/jails te steken.
Ik snap het wel. Er is wel een verschil tussen mod_ruid2 en de vorige setup.
In de vorige setup kon Apache alleen bestanden plaatsen in specifieke mappen.
In de nieuwe setup kan een gebruiker alle bestanden aanpassen die van de gebruiker zijn.
Ik zie het voordeel wel van de vorige setup maar er zitten een paar grote nadelen aan vast.
De apache gebruiker moet alles kunnen lezen. Website A kan ook de configuratie bestanden en wachtwoorden lezen van website B.
De apache gebruiker kan in zowel website A als website B bestanden wegschrijven.
Als je een gebruiker per website hebt ben je tegen beide nadelen beschermd maar heeft een gebruiker wel toegang tot alle eigen bestanden. Maar dit zou niet op moeten wegen tegen de problemen van het gebruiken van de apache gebruiker voor alle websites.
Flabbergasted
29/12/18, 22:31
Als je een gebruiker per website hebt ben je tegen beide nadelen beschermd maar heeft een gebruiker wel toegang tot alle eigen bestanden. Maar dit zou niet op moeten wegen tegen de problemen van het gebruiken van de apache gebruiker voor alle websites.
Ja, dat dus. Het was een flinke klus om alle sites naar eigen users te migreren, maar ik begin er de voordelen van in te zien. Het blijkt ook zo te zijn dat apache geen bestanden van andere users buiten de eigen homedir kan lezen, ook al zijn deze publiek leesbaar.
Moet nog wel m'n rsync backup script gaan herschrijven...
Ramon Fincken
30/12/18, 13:06
Heb je wellicht basedir in gebruik? mogelijk kan het dan wel (buiten je eigen homedir lezen)
Flabbergasted
30/12/18, 14:18
Heb je wellicht basedir in gebruik? mogelijk kan het dan wel (buiten je eigen homedir lezen)
Niet buiten de eigen site kunnen lezen zie ik als een feature, niet als probleem :)