phpshell и защита от него!

1) пользователю WWW, от которого выполняется apache, запретить писать в папках в которых могут выполнятся скрипты PHP.

2) Если на сайте есть возможность загрузки файлов на сервер в какие то папки, то запретить в этих папках выполнение скриптов PHP

3) Кроме тех папок, в которые разрешено закачивать файлы, пользователь www не должен быть владельцем папок и файлов.

4) Для всех папок выставить права 701. Владелец папок не WWW.

То есть если шел зальют, хакер не сможет получить список файлов и записать что либо.

Записать он сможет только в определенную папку, в которой скрипты PHP не выполняются.

Поставить автоматический анализ логов ACCESS.LOG, который будет находить в них строки

union

mysql

select

../../../

/etc

passwd

и так далее

При обнаружении таких запросов IP можно блокировать фаерволом и отправлять сообщение админу о попытке взлома.

Разумеется файлов с такими названиями на сайте быть не должно.

в mysql запретить создание файлов

Apache-mpm-itk работает под владельцем аккаунта.

Искать дырки в скриптах PHP

Основной способ заливки шела – mysql иньекция.

Когда данные принятые от пользователя, не проверяются на корректность и передаются на исполнение Mysql

Проверить, что бы все числовые данные, принимаемые от пользователя приводились явно к числу командой

$val=intval($_GET[‘val’]);

Для строковых данных использовать addslashes() для удаления спец символов

zexis, вы тупите. Речь о шаред хостинге.

Проблема в том что это шеред сервер и проверять тем более заставлять что то менять в скриптах юзеров я думаю нереально, а вот решения делать это глобально (типа парсить запросы к БД) как то я особо не встречал. Может есть рекомендации применительно к шеред хостингу, скажем так малой кровью....

babiy, /tmp в отдельный раздел, и в noexec, для начала.

phpMyAdmin обновлен?

раздел отдельный, по поводу noexec неуверен, phpmyadmin обновлял

Стопс соврал, нефига он у меня не отдельный раздел, завтра перемонтирую, у меня лвм думаю проблем не будет.

Еще рецепт: просить Андрейку настроить мод_секурити. Или же разбираться с ним самому. :)

Мод_секурити имею ввиду.

Надо найти источник загрузки шела, и устранить его, перевести php как php-cgi что бы ограничить круг заливки шелла, так как через mod_php через разные "щели" можно залазить. ну а дальше стнадртная схема, нашли дырку и залатали.

find /var/www/ \( -regex '.*\.php$' -o -regex '.*\.cgi$' \) -print0 | xargs -0 egrep -il "r0nin|m0rtix|r57shell|c99shell|phpshell|void\.ru|phpremoteview|directmail|bash_history|brute *force" | awk '{print "rm -f "$1""}' | sh

+ в php.ini

disable_functions = exec, system, passthru, scandir, popen, shell_exec, proc_open, proc_close, proc_nice, get_current_user, getmyuid, posix_getpwuid, apache_get_modules, virtual, posix_getgrgid, getmyinode, fileowner, filegroup, getmypid, apache_get_version, apache_getenv, apache_note, apache_setenv, disk_free_space, diskfreespace, dl, ini_restore, openlog, syslog, highlight_file, show_source, symlink, disk_total_space, ini_get_all, get_current_user, posix_uname