myhand

Рейтинг
278
Регистрация
16.09.2009
phpshell и защита от него!
boodda:
В случае suExec.
для каждого юзера заводить группу, например для юзера vasya группу vasya.
Владельцем его папки и файлы/папки внутри, где лежат его сайты, выставить vasya:vasya
Права на все файлы 0640
Для апача своя юзер и группа www:www
В файле /etc/group сделать vasya:*:1001:www
для каждого его хоста указать
User vasya
Group www

И после этого апача пустят в каталог с правами 0700, принадлежащий vasya?

Садись, два.

boodda:
Сомневаюсь, что не хватит, если поддельную сессию одарить правами 0777.

читайте про директиву session.save_path. Ах, Вы не подумали организовать отдельные каталоги для хранения сессий в /tmp? Ну вот и ССЗБ.

boodda:
Вот проверить не где.

В том-то и проблема, что свои "советы" Вы отродясь не проверяли.

boodda:
Ничего безумного не вижу в этом, и не надо плодить разделы для /tmp, просто переносить tmp в туже папку что и public_html, для каждого юзера будет свой /tmp.

Ну а как Вы там тогда noexec поставите, если в домашнем каталоге пользователя нужны cgi-скрипты?

boodda:
/var/www раздел с noexec
/var/www/user1/tmp это его темп.
Секурно и никакой паранои, а папку /tmp та которая в корне, вынести в другой раздел и тоже сделать noexec.

cgi-скриптов тоже "нет".

boodda:

Есть админы которым срать на их шаред хостинги, а есть админы которым было срать, но потом они получили по голове от начальства, за то что на хостинге, заводится всякая дрянь, мешающая жить сайтам разных клиентов, и эти клиенты начинают сваливать, начальник недополучает прибыль, а виноватым будет админ, и все равно все придет к тому, что придется искать из каких дыр растут ноги всяких фреймов с троями.А тут как никогда кстати будут логи пост запросов.

И Вы лично, значит, знакомы с такими "админами" - которые стали после этого читать POST-логи на ночь? А серверов-то сколько у таких "админов"? Адын?

boodda:
Для вас все школота!

Не - не все. Вполне конкретные люди, опознаваемые по очень простым критериям.

"Падает" MySQL при интенсивном обращении к диску
Buenos:
На что тут стоит смотреть?

Делать бекап с менее активной нагрузкой на диск? man nice, man ionice

Buenos:
Стандартное значение wa в нормальные часы 10-30%.

Это много.

phpshell и защита от него!
boodda:

Причем тот же апач при обращению к сайту юзера1 ,будет запускаться с правами не apache:apache, а user1:user1, если у вас сделать так не получается. покурите документацию.

С suexec? А мы не будем в таком случае "курить документацию", за бесполезностью такого процесса. Мы попросим Вас прочитать ее и рассказать нам как это сделать.

А не сумеете (что естественно, т.к. это нельзя реализовать как Вы заявили) - погоним Вас ссаными тапками в школу...

Ну а на будущее - не курите документацию, не "курите маны". ЧИТАЙТЕ их!

boodda:
убрать mod_include из php, отключить SSI, Perl если не юзается
это нужно вслучае если php настроен так не может выполнять системные команды(читать как "если вы установили disabled_functions в php.ini"). тогда хакер может попытаться использовать функцию virtual для запуска SSI скрипта, что приведет в свою очередь, к возможности выполнения команд.

Не проще уж тогда просто CGI отключить?

boodda:

И вообще общий /tmp для всех юзеров , это корень зла. поясню почему.

у юзера 1 есть сайт 1 с уязвимостью, а хакеру нужно попасть на сайт 2 у юзера 2 на том же сервере. Сайт 2 на публичной CMS, которая работает с сессиями(70% минимум от всех php cms).
Хакер подделывает сессию и сохраняет её в общий /tmp потом с этим идентификатором, заходит на сайт 2, и сходу получает админ привилегии на сайте 2, и делает с ним что хочет).

И вообще, Вы толком не знаете как работает тот же suexec в данном случае. И что у скриптов "юзера 2" просто прав не хватит для доступа.

Разные /tmp для пользователей имеют и свои недостатки. Наконец, достаточно безумно плодить разделы по числу пользователей.

boodda:
установить Suhosin и настроить его на максимальную защиту, которую только возможно(разумеется чтобы скрипты остались рабочими).
прочитайте фразу жирным еще раз.

Сделать зашибись (повторяем мантру).

boodda:

Логирование POST данных , позволит выяснить откуда у хакеров ноги растут

Повторяю вопрос. Вот, Вы его включили, это жрет кучу места, да ресурсов немного... Что Вы теперь с этим делать будете? На ночь читать?

Школьник - вон из интернета! (с) не помню чье

phpshell и защита от него!
Zaqwr:
один разде в noexec , это / - этот чтоли =)

В случае с ISP - наверно /var/www/

phpshell и защита от него!
babiy:
2. очень интересное решение с mod_security почитал в принципе решает многое

Только это не для виртуального хостинга - штат поддержки сперва увеличьте в разы...

babiy:
3. отдельные разделы в noexec

Если Вам не надо CGI - в чем проблема сделать это сейчас? Один раздел.

babiy:

4. ssh я никому не даю, да и никто не просит, фаерволом я его закрыл полностью для всех кроме своего апи адреса

До или после того, как у Вас логи потерли? А доступ по ftp для рута Вы не догадались сделать?

babiy:
что касается переустановки то тут как бы есть проблема , так как сервера свои и пересесть на что то не очень реально, можно погемороятся и скинуть всех на несколько вдсок или на одну даже на время реинстала, ну конечно крайне не хотелось бы сейчас таких жёстких действий, сервер хоть и не полон но сайтов много .... хотя понимаю риск и вероятно что то попробую предпринять в этом направлении.

Переустановить дешевле. Это раз.

Во-вторых, переустановка хостингового сервера - вполне штатная операция. Если у Вас это не так - нужно что-то предпринимать в этом отношении...

cyber2:

я извиняюсь, но у Вас ядро 2.6.18-194.32.1.el5
ему сто лет в обед, и есть куча уязвимостей, для повышения привилегий

Не затруднит одну привести? Это последнее обновление в CentOS, см. http://lists.centos.org/pipermail/centos-announce/2011-January/017222.html

Нужна помошь
seolancer:
MaxRequestsPerChild (в этом параметре не уверен) уменьшите, ну, например, до 100. Но, я так понимаю, что увеличится нагрузка на проц. Соответственно, как только счетчик достигнет 100, то процесс будет убит, а новый с SS=0 рожден.

Только число запросов через данный процесс - это не SS, а в другой колоночке (Acc). А SS обнуляется как только процесс завершит обработку очередного запроса.

Во-вторых, менять что-то имеет смысл тогда, когда ясно зачем. В частности, имеет место быть проблема. А в данном случае - ее не видно, а видно лишь недоразумение.

seolancer:
Ситуация получается такая. Сервер стартует и идут запросы, он их отрабатывает и дополнительные процессы не создает. В какой-то момент запросов приходит больше, он создает (1) доп.запросы. Траф опять падает, но доп.процесс переходит в спящий режим (в колонке с пид стоит прочерк) до момента, (2) пока сервер опять не получит увеличение запросов.

(1) доп. процессы, конечно (а могут быть и потоки)

(2) или пока процесс/поток не убъют за ненадобностью (это контролируется параметрами Min/MaxSpareServers)

Нужна помошь
Lord Maverik:
Я хочу просто сам тоже понимать что это, с цем едят и т.д. и т.п. В 2-х словах так сказать.

Зачем Вам такое "понимание" в двух словах?

Lord Maverik:
Кстати :SS Seconds since beginning of most recent request. Где тут слово воркер? :)

"В контексте". Там ведь есть и другие колонки, правда? И к ним легенды. Например, "child server" ("дочерний процесс" мне писать лениво).

Нужна помошь
Lord Maverik:
Это скрин в server-status моего VPS.

Сильно подредактированный в "фотошопе" (как - я объяснил выше).

Lord Maverik:
Как я понимаю SS это вермя с последнего обращения данным типом запроса (GET, POST) к данному урл. И 8000 это за гранью разумного.

Нет. Это время, с последней обработки запроса данным воркером.

Более того, в данный момент воркер может быть уже завершен. Что видно в примере Вашего листинга: по тому, что отсутствует его PID.

Lord Maverik:

У меня в связи с этим пара вопросов.
1. Из за чего такое происходит?

К апачу приходит запрос. Если есть свободные воркеры в пуле - он передает ему запрос на обработку. Если нет - запускает нового воркера (как правило, воркер = новый процесс апача) и там обрабатывает запрос. После обработки запроса воркер не будет завершен сразу - как правило его вернут обратно в пул. Если в пуле накапливается слишком много бездельничающих воркеров - часть из них завершается. Грубо говоря, так.

Lord Maverik:

2. Как с этим бороться можно?

Учить английский, повышать общий культурный уровень. Читать штатную документацию, например по тому же веб-серверу апачу (http://httpd.apache.org/docs/).

Или попусту взять виртуальный хостинг, где администрировать будут за вас. Или договориться с кем-то о постоянном администрировании Вашего VPS/сервера. И не забивать голову техническими деталями.

mysql innodb_buffer_pool_size > 4G
Maxxi:
штатно предлагается 5.0.77, которая уже вроде как и не поддерживается.

Именно что, "вроде как". Тем более, что и дистрибутив продолжает поддержку данного релиза, независимо от апстрим.

Maxxi:
а хочется попробовать новую 5.5, которая, как заявляется "improves performance and scalability on multi-processor hardware architectures. ... Up to 370% faster performance on Linux ... Better scalabilty on modern, multi-core, multi-CPU hardware" и т.д. :)

Т.е. не знаете зачем конкретно, но маркетоидный бред впечатлил?

Нужна помошь
Lord Maverik:
myhand, нет чукча не читатель. Если для кого-то тут все просто как 2*2, не сочтите за труд разъяснить.

Так Вы же написали, что "переводить не надо".

Таки надо?

1... 263264265266267268269270271 ...489
Всего: 4890