kxk, +1
Есть модули для PAM, позволяющие придерживаться заданного режима криптостойкости пароля. Минимальный набор символов, длина, перебор по словарю и т.д. Панеленезависимое решение, так сказать - для passwd тоже будет работать.
что значит несколько из сотни? либо _все_ пароли стойкие - либо нет. если вы позволяете ставить паролями имя любимой кошки - ССЗБ.
тоже вариант.
пароли нужно стойкие ставить. технические средства для контроля этого - давно есть.
это во-первых. А во-вторых - обычно достаточно понаблюдать какую-нибудь ошибку php-скрипта, рапортуя о которой он радостно сообщит о системных путях. Так что и имя пользователя угадать - не сложно - название домашнего каталога с ним обычно связано однозначно.
в-третьих. если злоумышленник читает произвольный файл в системе - что помешает ему выяснить полный путь к файлам сайта? откуда опять-таки информация о имени пользователя.
Определенно, читали. Запрет доступа к файлам других сайтов - реализуется для "не mod_php" - достаточно стандартными средствами. Каждому сайту - свой пользователь для скриптов. В чужой хом он не суется.
Что касается системных файлов типа /etc/passwd - тут либо ограничения внутри интерпретатора (типа open_basedir, если mod_php используется) либо chroot. Нужно ли возиться с организацией chroot на типовом виртуальном хостинге - хороший вопрос. Ну узнал я, что там написано
uXXXXX:x:1011:1011:,,,:/var/www/uXXXXX:/bin/false
uYYYYY:x:1012:1012:,,,:/var/www/uYYYYY:/bin/false
Много мне это дало?
Да, он там с 2009 года. Но то, что его включат в основной код - сомнительно. Апачи выбрали себе более легкое решение, которое в 2.4 будет. Да-да, с fcgistarter.
у вас опечатка: надо open_basedir
пожалуйста, смотрите документацию, если сомневаетесь в названии директивы.
open_basedir можно выставить в конфиге апача.
пока ничего не говорит о том, что его в принципе собираются туда включать.
правильный мед здесь:
http://httpd.apache.org/docs/2.3/
http://httpd.apache.org/docs/2.3/new_features_2_4.html
В 2.4 будет mod_fcgi_proxy, а mod_fcgid - достаточно старый независимый проект.
А с чего Вы взяли, что его включили в 2.3 ветку?
set_time_limit-то чем не угодил?
stack, а чем suphp отличается от php-cgi+suexec?
Не только. Во-первых, сказано следующее:
"Конфигурация Apache по-умолчанию позволяет из корня одного сайта получать доступ к файлам других сайтов и к корню сервера. "
"php cgi, suexec и прочее не даст запрет на доступ к системным файлам" - а какая в них тайна?
