Onderwerp: mod_suid(2)/mod_ruid ervaringen en tips

Oorspronkelijk geplaatst door t.bloo

tja, ik heb de source code bekeken en het stelt echt geen zak voor, er komt een request binnen en dat stuur je door naar de linux kern. daar valt weinig aan te onderhouden als er niets veranderd op dat gebied toch?

Ik geloof dat je nu toch echt even de begrippen onderhoud en ontwikkeling door elkaar aan het halen bent. Onderhoud aan software is altijd nodig en zo ook bij mod_ruid. De originele source bevat een aantal bugs, waarvan er 2 gefixt worden door mijn patch aan het begin van dit topic. Hoogst waarschijnlijk zitten er nog wel een paar in, maar die heb ik nog niet kunnen vinden.

Op zich vind ik het wel vreemd dat ik (prutser eerste klas) dit soort problemen moet ontdekken. Blijkbaar wordt er nog steeds te veel software "blind" toegepast en gaat men er te veel van uit dat er geen bugs in zitten.

Mijn motto is dan ook: stap 1 op het pad van de beveiliging is argwaan

Voor de gene die Ubuntu/Debian draaien en hun Apache hebben geïnstalleerd via apt-get, ik heb een .deb pakketje wat je kan installeren waardoor je direct gebruik kan maken van mod_ruid

Voeg aan je sources.list toe:

deb http://pcx.apt-get.eu/debian sarge unofficial

Hierna kan je "wscp-libapache2-mod-ruid" installeren via apt-get.

Oorspronkelijk geplaatst door Wido

Voor de gene die Ubuntu/Debian draaien en hun Apache hebben geïnstalleerd via apt-get, ik heb een .deb pakketje wat je kan installeren waardoor je direct gebruik kan maken van mod_ruid

Voeg aan je sources.list toe:

deb http://pcx.apt-get.eu/debian sarge unofficial

Hierna kan je "wscp-libapache2-mod-ruid" installeren via apt-get.

Als je wil maak ik er ook een amd64 versie voor.

Oorspronkelijk geplaatst door Wido

Voor de gene die Ubuntu/Debian draaien en hun Apache hebben geïnstalleerd via apt-get, ik heb een .deb pakketje wat je kan installeren waardoor je direct gebruik kan maken van mod_ruid

Voeg aan je sources.list toe:

deb http://pcx.apt-get.eu/debian sarge unofficial

Hierna kan je "wscp-libapache2-mod-ruid" installeren via apt-get.

heb je hierna nog veel configuratieproblemen? Zijn er goede tuts etc die makkelijk te volgen zijn hiervoor?

Wat voor load verhoging moet ik verwachten van deze modules? Ik weet bijvoorbeeld van suPHP dat die enorm is.

Code:

The following packages have unmet dependencies.
  wscp-libapache2-mod-ruid: Depends: libcap2 but it is not installable
E: Broken packages

Klopt het dat libcap2 niet in de standaard repos zit? (testing)

Oorspronkelijk geplaatst door Sander-

Code:

The following packages have unmet dependencies.
  wscp-libapache2-mod-ruid: Depends: libcap2 but it is not installable
E: Broken packages

Klopt het dat libcap2 niet in de standaard repos zit? (testing)

Alles wat ik maak is voor stable.

In testing zit die libcap2 inderdaad niet.

@ liber!, die ga ik binnenkort nog zelf maken.

configureren gaat erg makkelijk.

Je moet mod_ruid.conf in /etc/apache/mods-available even aanpassen (standaard values moeten voldoen in principe)

Daarna doe je in elke virtual host:

RMode config
RUidGid <user> <group>

@ wdv, zo ver ik weet bijna geen load extra, de systemen waar ik het op draai hebben nog steeds een zeer lage load.

Let op dat je wel de functie dl in je disable_functions moet zetten als je mod_ruid gebruikt, omdat een user anders via een exploit kan su'en. De functie dl is toch deprecated, dus het lijkt me goed te doen die af te zetten.

Meer info hierover in deze thread (met dank aan Maxnet voor de testcode).

Daarnaast zou ik ook je php compilen met: --disable-posix

Welke MPM gebruiken jullie i.c.m. met mod_ruid ?
Had nu weer een server die hangt bij shutdown/reload en mod_ruid geinstalleerd.

mod_suphp heeft inderdaat performance problemen
Paginas laden langzamer dan normaal met libphp5

Ik ga vandaag even op de test server proberen met mod_ruid
Ben benieuwt.

O als ik hem heb geinstalleerd gaat hij lopen zeuren dat libcap niet is geinstalleerd Terwijl die wel gewoon aanwezig is

En nu nog leuker, laat ik dan maar proberen met een oude versie en nu doet hij het helemaal niet meer Dus nu heb ik de kernel op me test bak verziekt...

Wat hebben jullie voor tips?

O als ik hem heb geinstalleerd gaat hij lopen zeuren dat libcap niet is geinstalleerd Terwijl die wel gewoon aanwezig is

En nu nog leuker, laat ik dan maar proberen met een oude versie en nu doet hij het helemaal niet meer Dus nu heb ik de kernel op me test bak verziekt...

Wat hebben jullie voor tips?

He ? Ik plaatje een reactie en staat hij bij die ene

Oke na een nieuwe versie te hebben geinstalleerd werkt het gelukig weer, hij compileerd te minsten...

Oke omdat apxs vreemd genoeg geen so files doe ik ze zelf linken en was ik -l cap vergeten...
Het werkt nu weer, wel snel Alleen krijg ik geen php foutmelding als ik geen toegang heb

Het nadeel van suPHP is inderdaad dat het een fukkin performance hog is, eerder werd gesteld dat het kleine impact heeft'. Nou ik kreeg gelijk van normaal van een load van 0.50 naar dik boven de 5.xx. 'Kleine impact' :/

Ik ga binnenkort weer eens experimenteren met de mod_suid voor de Apache 1.3.x gebruikers onder ons en een HOWTO publiceren, ben nu al in gesprek met de developer over bepaalde opties enz.

@rayden, keep me posted met je ervaringen

Kan iemand mij een voorbeeld geven waarom ik: system(), proc_open(), exec() moet uitschakkelen?

Als ik deze uitschakelt dan werkt phpsysinfo niet meer