phpshell и защита от него!

Здесь, увы, почти не модерируются некоторые разделы. Так что на комментарий от очередного пыонера (типа webrock) есть два варианта ответа: игнорировать полностью либо попробовать указать на глупости, если уж это совсем просто.

Не думаю, что сильно ошибусь - данных в открытом доступе достаточно. Да и арифметика тут несложная (хотя какое-там - на спеллчекер сайта денег не хватило ;))...

Тут противоречие, нет? Или у Вас уже был удаленный администратор сервера? Судя по Вашим предыдущим сообщениям - нет, не было. Просто время от времени Вы приглашали очередного Васю "поадминить" Вам хостинг - а ведь это большая разница.

Т.е. Вы таки готовы платить от 1.5-2k$ админу на фуллтайм (это еще скромная цифра) + штату техподдержки (в сумме - тоже около этого)? С таким бюджетом есть шанс собрать квалифицированную команду "из своего города"...

"Применить" вменяемый администратор "что-то" Вам просто не даст. Вплоть до того, что у Вас не будет root-доступа. Кто захочет отвечать за то, что готов учудить на сервере менее квалифицированный человек, да еще и начальник? :)

Веб-шелл весьма нечеткое понятие. Грубо говоря, это веб-скрипт, размещенный на сайте одного из пользователей.

Ваша задача - ограничить деятельность этого скрипта только указанным сайтом. Вы готовы предложить свою универсальную "пару строчек" для критики? Думаю, это было бы интересно ТС.

Да, но опять же - grsec для защиты сервера а не сайтов.

Andreyka добавил 04.02.2011 в 20:36

Чем оно лучше mpm-itk?

так в этом и есть основная цель защитить сам сервер от возможных действий злоумушленика загрузившего шелл, а сайты сложно защитить так как даже при очень хорошем документировании находятся те кто выставят права 777 на весь домен, и троянов достаточно много которые способны увести пасс от фтп клиента что уже даст возможность загрузки шелла, как тут сказали выше нужно сделать так что бы загруженный шелл если и нанёс вред (что тоже крайне не желательно) то исключительно в пределах директорий принадлежащих юзеру.

Для этого совершенно не обязательно ставить grsecurity-патчи. Следите за сервером, обновляйтесь своевременно, не делайте глупых ошибок при администрировании - grsecurity не избавит Вас от необходимости делать все это (добавив потенциально гемороя).

Вообще, если root-доступ злоумышленик получил - это уже "клиника". grsecurity тут не помочь - разруха "не в клозетах" ;)

"Сложно" - но это и есть Ваша задача: как защитить сайты пользователя Васи от скрипта на сайте пользователя Пети.

Решить ее не так уж и сложно, имхо. Собственно, раз у Вас mpm-itk - скрипты одного пользователя не могут "залезть" в каталог другого. Если Вы специально не поставили "кривые" права на домашние каталоги.

myhand, есть сплойты для многих последних ядер, о которых пока еще никто не слышал

Так вот, grsecurity от них защищает на 99.8%

И такой эффективной технологии нет в vanila? Шутите. Или просто "погорячились" с процентиками.

PS: И подобные "сплойты" - не из тех, что идут на атаку очередного микрохостера (не в обиду ТС).

та какие тут могут быть обиды, просто этим Вы сложили о себе своеобразное, не очень позитивное мнение, не только для меня ну и для своих потенциальных клиентов которые возможно прочтут эту тему и сделают для себя определённые выводы, ведь тема не была названа "прошу критики в свой адрес и в адрес своего проекта"....

Напрасно. Или Вы действительно готовы себя сравнить с крупными хостингами? :) Десять серверов у Вас хоть будет? Один-два - это как раз и есть микрохостинг. Так что за мнение своих потенциальных клиентов я не переживаю.

А Вы можете и не воспринимать сказанное всерьез. Считайте, что на Вас будут гонять приватные "сплойты для последних ядер". Бекапьте /tmp, да почаще - глядишь, там окажется бинарник на вес золота :D

не нужно сарказма, меня просто расстраивает Ваш стиль общения и не более того, не располагает он к общению....

myhand Сложно всё рассказать, надо прибегнуть к простому пути, wbe shell Это шелл запускается через браузер, для дальнейшего управление естественно файлами пользователя.

И так,попытаюсь не тянуть резину,шел по задачам простой.

Удалить,изменить,читать(файлы),закачивать(через бинарные закачки),перемещаться по директориям cd, без фанатизма, убить основные действие и он будет бесполезен.

Не важно, работает юзер с mod_php или cgi-bin(конкретно для сайта,так как php.ini вынесен отдельно юзеру в home), везде можно установить ограничение те что показаны в низу.

disable_functions="system,exec,passthru,shell_exec,escapeshellarg,escapeshellcmd,dl,show_source,fileowner,filegroup,posix_getpwuid,posix_getgrgid,posix_uname,cwd,getcwd,php_uname,popen,proc_open,ini_get_ll,disk_total_space,diskfreespace,disk_free_space"

--

После добавление:web shell Удалить,изменить,читать(файлы),закачивать(через бинарные программы закачки),перемещаться по директориям (cd),не сможет это делать, а просто смотреть в то что он показывает, нету смысла глаза по портятся :)

( я хочу заметить права на папки файлы должны быть грамотные ) хотя и даже с 777 манипуляции с файлами не будут.