Ulubione Panel

[ertcap 0]

1) Tak - suexec(8) odpala wszystkie skrypty jako uid:gid systemowy, wiec user ma dostep do tego samego do czego ma dostep z poziomu shella,

Heh, ja wiem co to jest CGI/fCGI, moje pytanie bylo retoryczne (nawet mam to niestety gdzies tam wlaczone ale podpiete pod CGI mam tylko PHPa )

2) Jesli ma uprawnienia do uruchamiania /bin/cat i do czytania /etc/passwd to bedzie mogl...

O ile oczywiscie to drugie mozna zablokowac korzystajac z chroot(8)'a to wtedy tez znika dostep do wszystkich bibliotek znajdujacych sie poza nim

Wiem @p i o to mi wlasnie chodzilo. Bardzo mi sie podoba w PHPie (ktorego zapewnie nie lubisz ), ze moge sobie goscia przyciac do np. katalogu /home/user i on nawet nie bedzie wstanie przeczytac sobie /etc/passwd a z drugiej strony ma np. dostep za pomoca wbudowanej funkcji mail() do wysylania maili za pomoca lokalnego SMTP. Gdybym bawil sie w chroota na kazde konto z osobna to bym musial zaczac kopiowac niektore uslugi/biblioteki/konfigi do jego katalogu (popraw mnie jesli sie myle). Do tego jeszcze blokada mozliwosci uruchamiania programow (bo zazwyczaj normalna strona www nie ma potrzeby uruchamiania czegos na serwerze) i mamy bardzo ladnie zabezpieczone srodowisko webowe (do czasu kolejnej dziury w phpie )

 

pzdr.

[p 3]

Gdybym bawil sie w chroota na kazde konto z osobna to bym musial zaczac kopiowac niektore uslugi/biblioteki/konfigi do jego katalogu (popraw mnie jesli sie myle).

Niestety nie masz racji Mozesz zmodyfikowac VFS (tak jak zrobili to ludzie z home.pl) i udostepnic wybrane pliki wewnatrz kazdego chroot(8)'a. Z tego co sie orientuje steven chcialby aby ta modyfikacja znalazla sie we FreeBSD, tak wiec mysle, ze nie jest to ich najpilniej strzezona tajemnica i jakbys ladnie poprosil to moze bys patch'a dostal