Хозяин хостинга не прикрыто ddos-ит конкурентов

Начнём с того, что файл с правами 777 каким образом попал на сервер и зачем?

Файл surf.html содержал в себе коды счетчиков liveinternet, Rambler Top100 и другие, для накрутки показов через такие системы как WebSurf.ru

neodev добавил 12.11.2011 в 05:26

Apache работает как MPM-ITK, в этом режими даже права 777 на изменяемом файле не нужны для его редактирования через php Shell.

При понижении прав на изменяемый файл ниже 0444 - статика не читается Nginx, "403 Forbidden".

А каким боком тут системный администратор то? Может мозг тоже включать начнём?

При 0444 статика не читается, верно.

Зато при 777 файл можно открыть с другого аккаунта.

У вас стоит nginx. Он должен получать данные о файлах. Полагаю, что он "стандартно" входит в группу юзера, поэтому при правах 777 есть возможность записи в файл с другого аккаунта. Только не говорите про basedir и прочее, что якобы не позволяет это делать. Всё обходится.

Показать метод чтения чужих файлов (а в вашем случае возможна и запись)?
В панели ISPManager для сайта выключаем php, тогда AssignUserID (от ITK) не попадает в конфиг виртуального хоста.
Добавляем в .htaccess строчку:
AddType application/x-httpd-php .php .htm .html .phtml

При таком раскладе у вас php начинает работать от общего пользователя www-data (www), от которого работает и nginx, т.к. itk не опознаёт пользователя (AssignUserID отсутствует). А пользователь nginx'а может файлы читать с правами *55 и выше.
Т.е. прочитать конфигурационный файл почти любого сайта реально, а там доступ к базе. (если только знать путь до файла конфигурации (т.е. только название движка по сути) и администратор не догадался поставить права 444 на файл)

Можете проверить

Himiko добавил 12.11.2011 в 07:08

При том, что ТС и администратор сайта и администратор сервера. А админ сервера должен что-то понимать в безопасности или нет?

Свой мозг включать лучше начните чаще.

Himiko, спасибо большое за выявленную уязвимость. Буду искать способ фиксить.

Она давно уже выявлена. Тут есть несколько хостеров (не слабых), у кого удавалось получить возможность выдернуть кучу данных с сервера. Им сообщили, всё исправлено.

А про права 777 забудьте. И на файлы конфигурации лучше ставить права 444, nginx'у их читать не нужно.

А это откровенная жесть. Вы каждому клиенту подсовываете скрипт накрутки? Какое право имеете это делать, так понял без согласия клиента и так понял именно на его аккаунт.. Если гдето ошибся в догадках, поправте..

exec('cat /etc/passwd'); - как самый простой способ при апач-префорк, есть баг в curl, который обходит это, и symlink уязвимость... ;)

Himiko, странно, но у меня воссоздать случай, описанный вами не получилось.

1. http://s017.radikal.ru/i411/1111/36/21d61e4dcbf4.jpg

2. http://s017.radikal.ru/i428/1111/1d/6571465b6b5e.jpg

3. http://s001.radikal.ru/i195/1111/08/52d31fb15413.jpg

При этом:

Disabled PHP Functions: putenv, popen, exec, system, passthru, proc_open, shell_exec, system_exec, shell, escapeshellarg, escapeshellcmd, proc_close, ini_alter, dl, show_source, enable_dl, proc_nice, apache_get_modules, virtual, getmyinode, apache_get_version, apache_getenv, apache_note, apache_setenv, ini_restore, openlog, syslog, highlight_file, symlink, ini_get_all, posix_uname, pcntl_fork, proc_terminate, proc_getstatus, pclose, proc_get_status, chgrp, posix_mkfifo, posix_setuid, posix_setsid, posix_setpgid, posix_kill, apache_child_terminate, pfsockopen, posix_getpwuid, posix_getgrgid, disk_free_space, diskfreespace, disk_total_space, posix_getegid, posix_geteuid, posix_getuid, posix_getgid

Open base dir: .

neodev добавил 12.11.2011 в 07:42

Я сам для себя не являюсь клиентом, еще раз поясняю, что mxneo мой сайт, и хостинг nghost тоже.

neodev добавил 12.11.2011 в 07:48

Я никак не отношусь к ТС. На моём сайте был обнаружен вредоносный js код атакующий его сайт.

neodev добавил 12.11.2011 в 07:52

P.S. поправки!

В ВиртуалХосте домена нашел директивы: AssignUserID

Это при отключенном PHP.

Видимо этот баг ISP пофиксили...

Нужно смотреть.

Я уже точно не помню, что там и как делалось и не закрыли ли уже.

Варианты разные есть.

Можете дать доступ к панели ISPManager с включенной функцией exec ?

Ничего трогать не буду, только проверю моменты.

При любом apache. Exec пофиг на basedir.

Himiko, можем списаться в ICQ? #306183

neodev добавил 12.11.2011 в 07:58

Эта функция запрещена на уровне юзера в php.ini : disabled_functions