Требования к cms

В том то и дело, что не надо. Сделайте кнопку "безопасный режим".

Вы не те шелы пробуете =) Заливаются без проблем и там.

Вполне возможно, имя заливающего озвучите, интересно даже стало проверить :)

Вероятно, они используют антивирус в реальном масштабе времени который проверяет закачиваемый контент. Других вариантов, как еще можно отличить одни файлы пхп от других - не могу себе представить. Вероятно, это несколько замедляет собственно закачку (на маленьких файлах не думаю что сильно замедляет). Но использование антивируса - не панацея. Всегда можно найти новый шелл, который еще не занесен в базы антивирусов.

Не храню это у себя, оно мне незачем. Но пол года назад заливалось (в мирных целях, нужен был ssh, но клиент пароль не мог найти.Вот и использовались "костыли") и все работало. Если не ошибаюсь то последний shell by orb был.

---------- Добавлено 20.05.2013 в 20:08 ----------

Или сделать проще, дописать свой кодер-декодер.

Доводим до Вашего сведения, что на прошлой неделе была обнаружена уязвимость в ядре Linux, позволяющая локальному пользователю получить права root.



Уязвимость касается ядер версии  с 2.6.37 по 3.8.10. Узнать версию Вашего ядра Вы можете командой uname -r в SSH.



Обнаруженная уязвимость касается ОС CentOS, Debian 7 и Ubuntu 12.04.



Пожалуйста, обновите ПО и ядро на Вашем сервере до последних версий.

Ну вот и посудите сами, вам сегодня письмо пришло, а уязвимость от 13го числа кажется...

18го числа я уже репортил о том, что на второй версии фикса в ядре 6.2 уязвимость устранена (/ru/forum/comment/11770815).

Кстати она касается владельцев серверов, если у вас просто хостинг то привет провайдеру :D

---------- Добавлено 20.05.2013 в 22:01 ----------

А как участь мильен разнообразий конфигураций?

Как-то тут ВКЛ\ВЫКЛ малова-то, 100500 профилей ?

Или же только одно ПО , под которое таки да, реально продумать "Safe mode".

---------- Добавлено 20.05.2013 в 22:04 ----------

Мне кажется, что надо действовать другим методом, на входе ловить шелы реально нет смысла, все равно что-то проедет.... важно что потом это может сделать в системе... а вот тут и надо крутить ограничения для клиентов всяческие... Но как правило , уязвимости движков при нормальном хостинге максиммум приводят к взлому одного акаунта на сервере.... есть ли смысл тратить кучу времени и всего прочего, если можно потом восстановить из бекапа и анализировать логи конкретного сайта\акаунта.... Думаю делема именно в этом :D Когда уязвимость коснулось локальности unix.... тогда все зашевелили булками, думаю многие как и я анулировали на время ssh / cc /gcc на сервере и все такое.... :)

Так, а если использовать не цмс, а именно свой сайт(шаблон+функционал), то на нём наверняка будут такие же дырки, если будет возможность заливки файлов.

То как этот момент проверить? И тут же уже не обновишься до ласт версии))

Да нет, сам файл и не нужен был, названия достаточно из чисто так сказать академического интереса. :)

---------- Добавлено 21.05.2013 в 10:48 ----------

Интересный подход. Хотя по закону возможно кривой. Хостер не должен лезть в файлы клиента без спроса.

Вряд ли. Иначе мы бы уже услышали о сошедших с ума суппортерах мастерхоста как это уже случилось с одним модератором видеоконтента у ютьюб. Вы видимо не представляете себе сколько файлов закачивается ежеминутно на серверы :)

To all. В репликах постоянно сквозит - "изба моя, что хочу то и делаю". Так вот - это не ваша изба. И как бы она не была изолирована, за то, что в ней творится - отвечает в конечном счете хостер. Пока вы это не поймете, не судьба вам получать нормальные услуги. Так как любой нормальный хостер озабочен тем, чтобы его сети не были загрязнены всяческим дерьмом, уж простите за выражение. И ему абсолютно все равно - дерьмо это образовалось вольно или невольно, в силу незнания или в силу пренебрежения основными правилами сетевой безопасности. Это знаете ли как в армии - не знаешь? научим! не хочешь - заставим! А кто дезертирует - ну туда ему и дорога, раз не понимает основные правила.

Для чего могут использовать ваши взломанные т.н. гс (это не я их так называю, это вы сами - ВЕБМАСТЕРА их так называете):

1) брутфорс других таких же как вы вебмастеров

2) рассылка спама в ящики других таких же как вы вебмастеров

3) взлом сайтов таких же как вы вебмастеров

4) ддос атаки сайтов таких же как вы вебмастеров

5) фишинг известных почтовых, банковских и других сайтов

6) и т.п. и т.д.

К сожалению, по репликам видно, что безответственность все еще цветет полным цветом.