Добрый день всем!
Вопросик по безопасности php apache на массовом хостинге.
пните\покритикуйте пожалуйста в нужную сторону.
Как в apache запретить, чтобы юзера не могли использовать
директивы Addhandler в .htaccess ? (потенциально уязвимо,
пользователь может при помощи addhandler указать использование
своего скрипта запуска php-cgi и выполнить произвольный php скрипт с
указанием своего конфига, т.е. без path restrictions)
Вообще говоря, сервер должен быть настроен так, чтобы можно было
безопасно выполнять любые CGI скрипты. Используйте suexec. Апач
запускайте в чруте. В чрут лишнего не кладите. Ну и проверьте все права
доступа. Ведь помимо php можно и perl вызвать, и еще что-то.
Спасибо! я упустил этот момент, слишком увлекшись безопасностью php.
Все скрипты и так запускаются через suexec, но...... как выяснилось без
ограничений путей.
Не подскажите чем кроме jail/chroot можно ли сделать cgi patch
restriction ?
jail и chroot - это не радикальные меры. Ни куда от них не дется, если
хочется безопасный массовый хостинг. У вас клиент может выполнять CGI ?
А может он в качестве CGI положить бинарник и выполнить его ? Если да
(а скорее всего так и есть), то всё равно что будет в настройках PHP.
Тем более, что способы обхода защит в PHP время от времени находят. В
случае массового хостинга стоит исходить из того, что все ограничения,
которые наложены настройками php можно обойти.
Рекомендую еще глянуть в сторону suphp
так и буду делать, новые сервера на jail .
suphp смотрел, интересный проект, но php будет исполняться как CGI.
Производительность на порядок ниже чем FastCGI. Имхо suphp можно
рассматривать только как небольшое дополнение к FastCGI, если последний
по какимто причинам пользователям на хостинге не подойдет.
