Onderwerp: Perl + CGI beveiligen ?

Om maar snel met de deur in huis te vallen - Hoe beveilig ik mod_perl en het gebruik van CGI op mijn webserver.

Met PHP kun je erg netjes een open_basedir instellen en als je dat per virtualhost doet kom je een aardig eindje. Maar mod_perl/CGI kennen die functies niet dus kan een gebruiker makkelijk over het filesystem rond snuffelen.

Zijn hier instellingen voor of wordt het toch een chroot van de Apache server?

Hallo,

Je kunt je Webserver 'beveiligen' (100% nooit gegarandeerd) door gebruik te maken van de SUEXEC.mod, dan worden cgi-scripts niet door de user onder wie de Webserver draait ge-executed maar door de gebruiker zelf. Als dit niet is geinstalleerd, of je virtual users directory staat niet op de standaard plaats. Dan zul je apache opnieuw moeten compilen.

Grtz

Ik heb eens wat Documentatie doorgelezen en suEXEC snap ik tot op het heden moment wel.

Dus ik compile/configure blah - Foutje, Ik bied mijn gebruikers(klanten) geen SSH access aan dit omdat ik geen extra useraccounts wou op mijn server.

Maar ik geloof dat suEXEC het bestaan van een user eist, of heb ik ergens een zij-weg gemist ?

Bedankt alvast voor je informatie.

Ensim heeft standaard suexec. Hoe zit dat bij andere CP's ?

Origineel geplaatst door ensimguru
Ensim heeft standaard suexec. Hoe zit dat bij andere CP's ?

Ik gebruik geen Ensim en of een andere kloon(Plesk or what ever).
Reden hiervoor is omdat ik een enorme dijk aan programeer ervaring heb(5 jaar PHP/een x aantal jaar Perl e.d.) dus heb ik vanaf het begin af aan zelf een CP gecode en ik moet zeggen hij werkt(Al kan er nog veel aan gedaan worden) beter als Plesk of Ensim(van wat ik gezien heb).

Maar goed, nu gaan we offtopic

Kun je in je virt.host niet aangeven dat (per user) hij op een bepaalde gebruiker draait, ik gebruik dat zelf ook en heb de rest van het systeem dus afgeschermd voor andere gebruikers/groepen.

Ik geloof in je virtual host:
User -
Group -

www.modsecurity.org is misschien interessant.. Ben er zelf erg happy mee..

Origineel geplaatst door yourforum
Kun je in je virt.host niet aangeven dat (per user) hij op een bepaalde gebruiker draait, ik gebruik dat zelf ook en heb de rest van het systeem dus afgeschermd voor andere gebruikers/groepen.

Ik geloof in je virtual host:
User -
Group -

Ja dat weet ik maar daarvoor heeft Apache suEXEC nodig, en mijn vraag was dus OF suEXEC ook kan werken met 'fake' users.

Origineel geplaatst door rhoekman
www.modsecurity.org is misschien interessant.. Ben er zelf erg happy mee..

Al mijn server draaien al een tijdje met modsecurity en ik ben er zelf ook enorm fan van, het GOED configureren duurt een tijd(je moet immers al die rulesets netjes opbouwen) maar dan heb je ook wat .

mod_perl en mod_php zijn inherent niet veilig.

als je (meer) veiligheid wil gebruik je suexec en php-cgi, of dergelijke constructies.