![]() |
chroot korisnika je koristan, ali u situaciji gde web server mora da ima pristup svim fajlovima koji se serviraju i nema neke koristi od toga... Sam apache proces mora da ima read pristup svim tim fajlovima, sto znaci da ukoliko je neka aplikacija komprimitovana, napadac dobija privilegije samog apache servera...
E sada, posto ima read pristup svim fajlovima, jer ima privilegije apache servisa, on moze da procita sve te fajlove... U sustini to je najveci problem sa shared hostingom... Da bi se to resilo tu se primenjuje chroot usera, i pusti se da se apache tera pod tim korisnikom... Sto znaci koliko korisnika toliko i instanci apache servisa... I jedan apache proces koji ce da radi proksiranje na osnovu ServerName parametra... Poprilicno jednostavna pricha, koja je istovremeno i veliki smor za konfigurisanje... U takvoj situaciji ti ograicish bilo koga da iako kompromituje neku web aplikaciju koja se izvrsava na tom serveru, moze da pristupi samo fajlovima i bazi te aplikacije. U tom slucaju napadac ukoliko kompromituje tu aplikaciju moze da dodje do administratorskih privilegija za samu bazu, i opet ima pristup svim bazama na serveru... Naravno ovde podrazumevam da na serveru ne postoji aplikacija koja u nekom od svojih fajlova ima root pass za bazu, ili da korisnici u bazi imaju sve privilegije... Toliko... |
zato moze da se koristi CGI sa suexec-om (moze i fastCGI, ako postoje uslovi), i onda da se svaki zahtev izvrsava pod suexec userom koji je zadat za taj VHost... Evo nekoliko mojih bookmarka na tu temu:
http://www.cosmocode.de/en/blogs/gohr/20070516093908/ http://wiki.osuosl.org/display/howto...ec+fastcgi+php http://www.seaoffire.net/fcgi-faq.html http://httpd.apache.org/docs/2.0/suexec.html nisam nikad probao da odradim ovaj setup (fastCGI + suexec), ali posto postoji gomila uputstava na tu temu, deluje da nije strasno namestiti.. |
Vreme je GMT +2. Trenutno vreme je 19:49. |
Powered by vBulletin® Verzija 3.6.8
Copyright ©2000 - 2025, Jelsoft Enterprises Ltd.
Copyright © DevProTalk. All Rights Reserved.