Onderwerp: Ervaringen met RLimit in Apache

Hallo,

Ik zat door de Apache docs te struinen en kwam het volgende tegen.
http://httpd.apache.org/docs/mod/core.html#rlimitcpu
http://httpd.apache.org/docs/mod/core.html#rlimitmem
http://httpd.apache.org/docs/mod/core.html#rlimitnproc

hebben jullie hier ervaring mee en heeft er iemand relevante configs?
kan je dan ook aangeven wat voor bakken het zijn, hoeveel websites er op en hoe de settings daar bij zijn?

bedankt

This applies to processes forked off from Apache children servicing requests, not the Apache children themselves. This includes CGI scripts and SSI exec commands, but not any processes forked off from the Apache parent such as piped logs.

Voor modules zal dit dus niet van toepassing zijn, dus zal je server side script modules zoals PHP als cgi moeten compilen, en dan kijk je weer beter uit naar een wrapper, waar je dan rlimits kunt instellen

Das balen, PHP draai ik liever als module.

Waarom zou je limieten willen instellen voor apache?

Nou, je hebt wel eens van die leuke mensen welke met hun bagger scripts komen aanzetten.

Je hebt dan wel een max_execution time van 30 seconde in PHP, maar sommige perl en php scripts zijn niet echt bevordelijk voor je server.

Misschien is Process Resource Monitor wat?

http://www.r-fx.org/prm.php

waarom zou je php als module draaien? Zet je dan safe_mode aan of disable je alleen een paar functietjes en restrict je dirs?

Origineel geplaatst door wv-
waarom zou je php als module draaien? Zet je dan safe_mode aan of disable je alleen een paar functietjes en restrict je dirs?

Nee, zeker geen safemode.
Als je niet als module draait mag je niets via .htaccess of de httpd.conf aanpassen aan de php config, dat is toch wel handig om te kunnen.

Je zet de posix functies uit, allow_url_fopen en je zet de open_basedir aan.

Vervolgens chmod je een paar commando's op je servers anders en mount je /tmp als nosuid en noexec.

en jij dat denkt dat veilig genoeg is ?

Origineel geplaatst door McRox
Misschien is Process Resource Monitor wat?

http://www.r-fx.org/prm.php

Hmm, eens naar gaan kijken.


wv-, beweer jij dat dat niet zo is? Geef eens argumenten dan.

Een user kan zelf binaries uploaden en die executen

Origineel geplaatst door wv-
Een user kan zelf binaries uploaden en die executen

Met PHP als CGI niet dan?

Jawel, maar dan draait dat onder de uid en gid van de gebruiker (als die gebruik maakt van een wrapper) en kan hij niet andermans php files inlezen of jouw apache killen. Vergeet niet dat jouw open_basedir niet werkt bij het uitvoeren van cat /bestand_x_of_y

Klopt, via system() pakt de open_basedir het niet, maar als je ls, cat, wget, lynx en nog meer commando's 500 chmod dan hebben ze die commando's niet meer.

Ja, ze kunnen ze zelf uploaden, klopt.

Origineel geplaatst door Wido
Ja, ze kunnen ze zelf uploaden, klopt.

Wel dan, dan heeft die chmod toch geen enkele zin en kunnen gebruikers nog altijd mekaars .php files doorzoeken achter mysql wachtwoorden, data en kunnen ze zelfs jouw apache killen enz.