Onderwerp: apache per user?

Oorspronkelijk geplaatst door maxnet

Nee, van libcap (zonder p): http://ftp.kernel.org/pub/linux/libs...vs/kernel-2.4/

Die wordt ook door mod_ruid gebruikt, dus als het goed is staat hij al op je systeem geinstalleerd.

Mischien nog even lipcap-devel installeren?

Oorspronkelijk geplaatst door mind

Mischien nog even lipcap-devel installeren?

hmm, dat was in mijn geval niet nodig. libcap gedownload + geinstalleerd (make, make install). Daarna deed de module compilen en kreeg ik uid(0); op mijn scherm

Oorspronkelijk geplaatst door Stefan Mensink

Zou dit voldoende zijn om gaten te voorkomen, of zijn er nog meer pitfalls?

Tja, het risico blijft natuurlijk dat wanneer er een bufferoverflow of andere bug in Apache, PHP of een van de tig libraries waar PHP gebruik van maakt gevonden wordt, je alsnog via dezelfde methode root kan krijgen.

Hoe hebben jullie dit opgelost?

Onze eigen oplossing is ook verre van ideaal.
Klanten draaien standaard in een safe_mode/openbasedir omgeving.
Indien dat niet voldoet dan starten we een PHP FastCGI procesje op onder de gebruikersnaam van de gebruiker.

CGI/Perl scripts ondersteunen we verder geheel niet, en homedirs + /tmp zijn noexec.

Oorspronkelijk geplaatst door rayden

Static compilen op een andere server die overeenkomt met jou server libs..is best te doen en daarna uploaden.. tadaa

Gelukkig staat dl() hier al een eeuwigheid uit - was ik nog even vergeten te vermelden

Oorspronkelijk geplaatst door Wido

....

Tja, je moet wel iets als RSBAC, SELinux of grsec gebruiken, maar dat moet je eigenlijk altijd al doen
...

Ik heb die mod_ruid2 geinstalleerd op een test-server, met de nodige php-functions disabled. Dat is al een goede start denk ik.
Dan wil ik best nog wel iets als rsbac, ... gebruiken, maar de vraag is dan wel, wat doe je er mee. Voor wat gebruik je die rsbac precies, welke modules zijn geactiveerd, hoe is het ding geconfigureerd?

Peter

Oorspronkelijk geplaatst door fastrep

Ik heb die mod_ruid2 geinstalleerd op een test-server, met de nodige php-functions disabled. Dat is al een goede start denk ik.
Dan wil ik best nog wel iets als rsbac, ... gebruiken, maar de vraag is dan wel, wat doe je er mee. Voor wat gebruik je die rsbac precies, welke modules zijn geactiveerd, hoe is het ding geconfigureerd?

Peter

Ik ben hier nu op dit moment mee bezig, ik zal vanavond even wat pointers posten (moet nu naar Redbus&Easynet). Heb al wat rules samengesteld icm met GRSecurity...

rsbac is gewoon een laag over je kernel heen, zie ook www.rsbac.org

Het is nu nog steeds mogelijk om bijvoorbeeld /etc/passwd op te vragen. Dit lijkt mij toch niet de bedoeling...

Gaat dit een serieus probleem worden als safe_mode eruit gaat bij PHP 6.0?

Oorspronkelijk geplaatst door entrepreneur

Het is nu nog steeds mogelijk om bijvoorbeeld /etc/passwd op te vragen. Dit lijkt mij toch niet de bedoeling...

Wat is er op tegen dat /etc/passwd kan worden opgevraagd?
Commando's als "ls" hebben het nu eenmaal nodig om gebruikernummertjes naar gebruikersnamen om te kunnen zetten.

Het enige wat men daarmee kan is zien welke gebruikers er nog meer op de server zitten, en daar valt ook nog wel op andere manieren achter te komen.
De gecodeerde wachtwoorden zelf staan bij elk modern OS in een ander bestand (meestal /etc/shadow of /etc/master.passwd)