Ага, кто-то еще тут недавно писал о том, что платные продукт (речь шла о ISPmanager) значительно лучше бесплатных в плате безопасности (той же VestaCP) :)
Единственное, что замечаю, это скорость исправления проблем, но сами проблемы безопасности в платных продуктах бывают еще "круче" :)
dmitrii_trof: Ну во первых, как написали в начале топика многие хостеры, то наложенное ограничение на IP распространяется только на сайт нарушителя. Другие сайты в рамках этого IP будут работать корректно!
Но действительно, в редких случаях, определенные интернет-провайдеры накладывают блокировку не на http сайта, а именно на весь IP - тогда в этом случае у пользователя данного интернет-провайдера перестанут работать все сайты находящиеся в рамках этого IP. Как показала практика (наша), такие блокировки на IP происходят у мелких провайдеров, кто ленится нормально настроить свое оборудование и действуют кустарным методом.
Увы, не только у мелких. Тот же Билайн блокирует сразу по IP, при этом, по какой причине они это делают, а не ограничивают доступ к конкретному ресурсу внятного ответа не дают. Так как провайдер крупный и у него много кто арендует каналы, то страдает очень много пользователей и даже не из России.
porutchik: Можно примеры случаев, когда кто-то самовольно заблокировал подсеть.
Хочется в суд подать на такого провайдера и лишить его лицензии.
Подсети не встречал, чтобы блокировали, а вот IP блокируют без проблем некоторые провайдеры при внесении всего лишь 1 страницы или сайта на блокируемом IP. Недавний пример вот здесь описан https://habrahabr.ru/post/305336/
Обращался в РКН по Билайну, ответили, что провайдер имеет право блокировать IP адрес, если у него нет технической возможности ограничивать доступ по адресу. И всё... печально еще то, что блокируют в данном случае и магистральный трафик.
Anti-DDoS-Pro: Возможно что если собрано всё руками, то работает хорошо, но если всё установлено по стандарту, то есть возможность потерять сервер.
Но и это ни есть хорошо, когда можно прочитать какие то настройки, даже настройки сети, они по умолчанию доступны для чтения. Вопрос у меня заключается в том что, можно ли ограничить доступ с CGI? чтобы пользователь не мог зайти за пределы своей папки, как вариант с Apache.
Чтение настроек сервера - это не уязвимость. Если Вам это мешает спокойно спать, то настраивайте каждый сервер индивидуально. От ISPsystem решения проблем вряд ли дождетесь.
Лично у меня всё хорошо, как на 4 версии панели, так и на 5 версии. Но во всех случаях стоит CloudLinux, PHP собран руками и работает через LSAPI. Для каждой версии PHP есть файлы для проверки обхода CageFS, а также CGI файл, везде всё хорошо на данный момент, но это отличается от стандартного программного обеспечения, которое идет с панелью.
KitayacVsupez: Если не брать в расчёт вдс то и мои расчёты такие-же как у вас. Но вот большинство говорит лучше брать где кеш побольше да и новее который :D
Если учитывать кеш, то надо понимать, как работает Ваше приложение.
А аргумент - который поновее, это вообще смешно :)
Anti-DDoS-Pro: Мной было приобретено несколько хостингов на CloudLinux с ISPmanager 5, так же я мог бродить по серверу, и мог узнать для себя много полезной информации, так же имел полный доступ в раздел boot, где мог просто его удалить, в пример возьмём хостинг от ispserver.com (Не реклама), много данных можно уничтожить. Мог так же изменить конфиг с сетевыми настройками, просто поменять IP, при перезагрузке он бы не смог выйти в сеть. либо залить какой нибудь експлоит, и указать его в автозагрузке, и всё...
Вы уверены? Что-то на грани фантастики Вы описываете сейчас... удалить раздел /boot, поменять сетевые настройки 😂
Если проблема действительно имеет место быть, сообщите о ней хостинг-провайдеру, если имеете такую же, напишите о ней на официальный баг трекер ISPsystem http://bugs.ispsystem.ru/
Anti-DDoS-Pro: ISP прислали письмо, но это не помогает от этой уязвимости, уже обновили и проверили, но когда идёт большой поток клиентов, и сервера нужно ставить один за другим, то на выставление прав уйдёт масса времени. Это не правильно, если выставив в apache2 openbase_dir, то пользователь не сможет выйти за пределы данной директории, а почему при CGI это не делается?
Обновление решает другую уязвимость.
В CGI нет такого понятия, как open_basedir. Через PHP, кстати, тоже можно читать файлы, даже при включенном open_basedir, главное уметь :) Если хотите полной изоляции - используйте CloudLinux.
Уточните, а что именно у Вас там на сервере читать можно? По умолчанию панель ставит на папки пользователей необходимые права, то есть, файлы соседей не почитать. Если Вы о /etc/passwd, то здесь нет ничего страшного.
Anti-DDoS-Pro: Доброго времени форумчане, недавно обнаружили такую уязвимость, можно ли это так назвать или нет... в общем расскажу в кратце, нужно домен перевести в режим CGI, залить любой shell на хостинг, и всё можно бродить по серверу, там где есть права. Выставление настроек open_basedir не помогают. У кого есть какие предположения или рекомендации по данной ситуации??? Данная уязвимость проверялась на ISPmanager 4-5 версиях.
Если Вы отключаете open_basedir и разрешаете выполнять CGI скрипты, то какая же это уязвимость? Это нормальная работа программного обеспечения.
Другое дело, что я поднимал ранее проблему обхода CageFS (это изолирование пользователей) и оно не работало. Сказали - это нормально 😂
А относительно уязвимостей, прислали письмо, что в ISPmanager Business есть уязвимость с получением доступа к базе данных панели. Проверьте версию, если она 5.64.1 от 26 июля 2016 года, то спите спокойно, но если версия 5.64.1, а дата другая, то срочно обновляйте панель.
Дырища знатная.
Ага, кто-то еще тут недавно писал о том, что платные продукт (речь шла о ISPmanager) значительно лучше бесплатных в плате безопасности (той же VestaCP) :)
Единственное, что замечаю, это скорость исправления проблем, но сами проблемы безопасности в платных продуктах бывают еще "круче" :)
Ну во первых, как написали в начале топика многие хостеры, то наложенное ограничение на IP распространяется только на сайт нарушителя. Другие сайты в рамках этого IP будут работать корректно!
Но действительно, в редких случаях, определенные интернет-провайдеры накладывают блокировку не на http сайта, а именно на весь IP - тогда в этом случае у пользователя данного интернет-провайдера перестанут работать все сайты находящиеся в рамках этого IP. Как показала практика (наша), такие блокировки на IP происходят у мелких провайдеров, кто ленится нормально настроить свое оборудование и действуют кустарным методом.
Увы, не только у мелких. Тот же Билайн блокирует сразу по IP, при этом, по какой причине они это делают, а не ограничивают доступ к конкретному ресурсу внятного ответа не дают. Так как провайдер крупный и у него много кто арендует каналы, то страдает очень много пользователей и даже не из России.
Можно примеры случаев, когда кто-то самовольно заблокировал подсеть.
Хочется в суд подать на такого провайдера и лишить его лицензии.
Подсети не встречал, чтобы блокировали, а вот IP блокируют без проблем некоторые провайдеры при внесении всего лишь 1 страницы или сайта на блокируемом IP. Недавний пример вот здесь описан https://habrahabr.ru/post/305336/
Обращался в РКН по Билайну, ответили, что провайдер имеет право блокировать IP адрес, если у него нет технической возможности ограничивать доступ по адресу. И всё... печально еще то, что блокируют в данном случае и магистральный трафик.
Возможно что если собрано всё руками, то работает хорошо, но если всё установлено по стандарту, то есть возможность потерять сервер.
Но и это ни есть хорошо, когда можно прочитать какие то настройки, даже настройки сети, они по умолчанию доступны для чтения. Вопрос у меня заключается в том что, можно ли ограничить доступ с CGI? чтобы пользователь не мог зайти за пределы своей папки, как вариант с Apache.
Чтение настроек сервера - это не уязвимость. Если Вам это мешает спокойно спать, то настраивайте каждый сервер индивидуально. От ISPsystem решения проблем вряд ли дождетесь.
Лично у меня всё хорошо, как на 4 версии панели, так и на 5 версии. Но во всех случаях стоит CloudLinux, PHP собран руками и работает через LSAPI. Для каждой версии PHP есть файлы для проверки обхода CageFS, а также CGI файл, везде всё хорошо на данный момент, но это отличается от стандартного программного обеспечения, которое идет с панелью.
Как видите, пользователь видит только себя.
Уже сообщили, и проверили, действительно это работает. Так же были уведомлены по телефону.
Можно ссылку на баг в системе http://bugs.ispsystem.ru/ ?
Если не брать в расчёт вдс то и мои расчёты такие-же как у вас. Но вот большинство говорит лучше брать где кеш побольше да и новее который :D
Если учитывать кеш, то надо понимать, как работает Ваше приложение.
А аргумент - который поновее, это вообще смешно :)
Мной было приобретено несколько хостингов на CloudLinux с ISPmanager 5, так же я мог бродить по серверу, и мог узнать для себя много полезной информации, так же имел полный доступ в раздел boot, где мог просто его удалить, в пример возьмём хостинг от ispserver.com (Не реклама), много данных можно уничтожить. Мог так же изменить конфиг с сетевыми настройками, просто поменять IP, при перезагрузке он бы не смог выйти в сеть. либо залить какой нибудь експлоит, и указать его в автозагрузке, и всё...
Вы уверены? Что-то на грани фантастики Вы описываете сейчас... удалить раздел /boot, поменять сетевые настройки 😂
Если проблема действительно имеет место быть, сообщите о ней хостинг-провайдеру, если имеете такую же, напишите о ней на официальный баг трекер ISPsystem http://bugs.ispsystem.ru/
ISP прислали письмо, но это не помогает от этой уязвимости, уже обновили и проверили, но когда идёт большой поток клиентов, и сервера нужно ставить один за другим, то на выставление прав уйдёт масса времени. Это не правильно, если выставив в apache2 openbase_dir, то пользователь не сможет выйти за пределы данной директории, а почему при CGI это не делается?
Обновление решает другую уязвимость.
В CGI нет такого понятия, как open_basedir. Через PHP, кстати, тоже можно читать файлы, даже при включенном open_basedir, главное уметь :) Если хотите полной изоляции - используйте CloudLinux.
Уточните, а что именно у Вас там на сервере читать можно? По умолчанию панель ставит на папки пользователей необходимые права, то есть, файлы соседей не почитать. Если Вы о /etc/passwd, то здесь нет ничего страшного.
Доброго времени форумчане, недавно обнаружили такую уязвимость, можно ли это так назвать или нет... в общем расскажу в кратце, нужно домен перевести в режим CGI, залить любой shell на хостинг, и всё можно бродить по серверу, там где есть права. Выставление настроек open_basedir не помогают. У кого есть какие предположения или рекомендации по данной ситуации??? Данная уязвимость проверялась на ISPmanager 4-5 версиях.
Если Вы отключаете open_basedir и разрешаете выполнять CGI скрипты, то какая же это уязвимость? Это нормальная работа программного обеспечения.
Другое дело, что я поднимал ранее проблему обхода CageFS (это изолирование пользователей) и оно не работало. Сказали - это нормально 😂
А относительно уязвимостей, прислали письмо, что в ISPmanager Business есть уязвимость с получением доступа к базе данных панели. Проверьте версию, если она 5.64.1 от 26 июля 2016 года, то спите спокойно, но если версия 5.64.1, а дата другая, то срочно обновляйте панель.
Текст письма от их партнера: http://joxi.ru/4zANpRvt5g70m9?d=1