On Wed, 3 Jul 2002, Sergey Matveychuk wrote:
> > ... что обеспечивается тем же suexec'ом - в виртуальных серверах
> > указываются uid/gid под которыми запускаются скрипты через suexec и все
> :-)
>
> ... Но suexec заточен так, что запускать скрипы можно только от одного
> юзера, а остальные виртуальные сервера в пролете - не могут запускать
> _никакие_ свои скрипты.
>
Это вы с прямым углом перепутали. Одному-единственному пользователю
(apache'у) разрешено запускать *сам* suexec - а вот скрипты из-под него
пускаются с какими угодно несистемными uid'ами. Что правильно: независимо
от директив процесс apache имеет uid == apache.
> >
> > > Короче похачить пришлось suexec.
> >
> > А голова вам нужна для того, чтобы в нее есть и все, да ? Теперь Вася
>
> Нет, на голову я еще шапку иногда одеваю :))
>
> > (пользователь вашего сервера) может вызвать *любой* скрипт Пети (другой
> > пользователь вашего сервера) с правами Пети - и если Петины скрипты к
> > этому не совсем готовы, то можно много интересного совершить. Вы этого
> > хотели ? Проверка на uid в suexec'е как раз и закрывала возможность его
> > использования кем попало...
>
> Не правда ваша. Вася может запускать только свои скрипты, а не Петины.
Вася может попросить suexec запустить Петины скрипты с правами Пети в том
окружении, какое им подсунет Вася - а еще он может в нужное время
временные файлы заменить. Сделав вид - что его скрипт и есть сам apache
(вы же проверку на это убрали). Ну что вы в самом деле - никогда exploit'ы
не сочиняли ?
> Это место в suexec я не трогал.
> Я же не говорил, что отключил проверку suexec совсем.
>
Ну да - только наполовину :-)
=============================================================================
= Apache-Talk@lists.lexa.ru mailing list =
Mail "unsubscribe apache-talk" to majordomo@lists.lexa.ru if you want to quit.
= Archive avaliable at =
