In <200001211023.NAA20798@blackhole.nodes.ru> Konst Bulatnikov (inode@nodes.ru)
wrote:
KB> On 20 Jan 00, at 22:42, Khimenko Victor wrote:
>> KB> тут я вот все думаю над своей бедой. Неужто единственный
>> KB> способ запускать скрипт с chroot() только через хаченье
>> KB> suexec? не хочется его хакать, да и вообще suexec не хочется
>> KB> :)
>>
>> А чего хочется ? Ты б задачу поставил сначала, а потом ее уже решать начинал.
KB> Приехали. Ставил я ее тут утром. Повторюсь: стоит задача дать
KB> клиентам cgi, но при этом максимально побрезать им руки. То
KB> есть например - обрезать возможность прочитать /etc/termcap.
KB> Или ls /tmp. Или что-нибудь еще.
Именно. Задача НЕ поставлена. Ты реши либо что ты им хочешь запретить, либо
что ты им хочешь разрешить, а уже потом решай. Конечно если исходников Apache
нету (идиотская ситуация), то кой-какие вещи может быть и не удастся сделать,
но в принципе можно подрезать пользователей практически до той степени, до
какой ты хочешь. Пока ты не решишь - до какой степени ты хочешь им надоедать,
ничего путного предложить нельзя (можно вообще всех упихать в chroot, ulimit'ами
обвешать и заставить только статические бинарники использовать и, на всякий
пожарный, подпилить ядро, чтобы у них остался один систеимный вызов:
write -- чтобы с стандартный выход писать; ясно что смысла в таком CGI-hosting'е
не будет никакого :-)
=============================================================================
= Apache-Talk@lists.lexa.ru mailing list =
Mail "unsubscribe apache-talk" to majordomo@lists.lexa.ru if you want to quit.
= Archive avaliable at =
