|
ru.linux
- RU.LINUX ---------------------------------------------------------------------
From : Alexandr Goncharov 2:5020/400 12 Apr 2002 05:24:19
To : Denis Smirnov
Subject : Re: virtual hosting -- security
--------------------------------------------------------------------------------
Denis Smirnov <mithraen@freesource.info> wrote:
AG>> http://hellbell.h1.ru/jail/ - Использование jail(2) для предоставления
AG>> untrusted shell access
DS> А что, в эхотаге уже есть jail? :-( )
Да нет, конечно. В этой статье на примере построения хостинга с
использованием jail дается в том числе и разбор граблей, на которые
наступаешь в плане секьюрности.
Причем грабли-то платформонезависимые.
Что-то можно использовать как есть, что-то - применив аналогичные средства
из своей системы. Что-то вообще использовать не удастся.
(По совести сказать, в начале треда я как-то выпустил из головы название
конференции, ибо большинство вопросов хостинга и разграничения прав - не
зависят (или слабо зависят) от того, на каком именно *-nixе крутится
вебсервер. Спохватился, только отправив ссылку. Hо, как выше сказано - там
ценны не только конкретные шаги, но и общий анализ проблемы. )
Hо виртуальные машины в эхотаге есть.
В частности - в ASP, насколько мне известно. Вот только не уверен, в
дистрибутиве ли или отдельно приобретается.
AG>> Hа память не раскажу, надо смотреть конфиги.
DS> Hе посмотришь?
Да посмотреть-то можно, только выдирать куски - малоинформативно. А
приводить весь конфиг и делать анализ (а там полно своих специфических
заморочек, вплоть до использования в разных местах одного и того же враппера
с разными патчами) - долго и малоинтересно.
Лучше все-таки взять направление (как испольнять скрипты от имени юзера, а
не апача), выбрать метод его реализации (исходя из своих задач) и сделать.
Тогда вопросы станут более конкретными и ответы тоже.
AG>> Hо документация по suexec и
AG>> cgi-wrapper существует. Что конкретно использовать - от задачи и симпатий
AG>> зависит, наверное.
AG>> враппер сидит в конфиге апача и пользователь не имеет возможности его
AG>> править.
AG>> Вот как-то так (это одна из строк конфига, в одиночку может и не работать)
AG>> - RewriteRule ^/cgi-bin/?(.*)
AG>> /usr/local/apache/cgi-bin//cgiwrapv/${host-to-user:%{HTTP_HOST}}/$1
DS> Попробую.
AG>> .htaccess в корне homedir не принадлежит юзеру, а принадлежит руту. И
AG>> защишен от удаления установкой флага sunlink.
AG>> Все остальные .htaccess, в поддиректориях - доступны юзеру для изменений.
DS> Хм. А можно сделать то же самое, не запрещая юзеру писать в .htaccess в
DS> корне?
Можно поиграть директивой AllowOverride в конфиге апача. У нас стояла
несколько другая задача - именно запретить писать сюда юзеру.
С целью оставить за собой механизм закрытия/открытия доступа к сайту и чтобы
юзер не смог снять парольный вход на сайт, пока не уладит формальностей с
документами и деньгами. А остальное - следствие.
DS> --
DS> С уважением, Denis
DS> http://freesource.info
--
Alexandr V. Goncharov, | Digital Networks, Tomsktelecom
AGV-RIPE, | agv@tomsknet.ru
AGV3-RIPN | phonе: +7(382-2)662510
--- ifmail v.2.15dev5
* Origin: Tomsktelecom - Digital Networks (2:5020/400)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
