Опять про взлом сайта на PHP и сессий

[fixxxer]

Я так и думал. Беги оттуда. С идиотами бесполезно спорить.

 

[confguru]

Norton
Перечитай мой пост ЕЩЕ РАЗ...

Могу посоветовать только порекомендовать этого хостера..
Конкурентам..

 

[Norton]

Автор оригинала: fixxxer
Я так и думал. Беги оттуда. С идиотами бесполезно спорить.

Ясно.
На счёт беги - не всё так просто. Я сам этого не решаю. Есть директор, ему нравится что хостер в одном городе, что всегда по телефону можно поговорить...
Украинский хостер. Именует себя как качественного...
Линк к сожалению пока дать не могу, так как нет гарантии что они могут закрыть все наши аккаунты из-за такой "рекламы", или база у них может именно наша случайно упасть..

Будем стараться переехать.

Спасибо всем за дельные советы.

 

[fixxxer]

Возьми http://php.spb.ru/remview/ и покажи директору, какой это хороший хостер.

 

[ukrhosting]

Originally posted by Norton
Пока я думаю это преждевременно, я попросил хостера здесь высказаться, может я чего наврал случайно..

Я бы промолчал но уж слишком силно он меня напряг…

Вданном случае пользователь в файле на котором стоял рид для всех хранил свой ФТП пароль причем в формате ftp://user:password@server/ (наверно чтобы его было легче найти). Зачем там было хранить пароль для меня навсегда останется загадкой.

А сперва я действительно поверил что какая-то новая дыра толи в пхп толи в нашей хостинговой системе, оказалось все банально просто. 3 часа потерянного впустую времени.

Max Volgin,
www.ukrhosting.com

 

[fixxxer]

Риды для всех на хостинговом сервере тоже надо закрывать. Весьма желательно. Благо соответствующий патч занимает одну строку.

Но это так, лирическое отступление.

Мне больше интересны комментарии про "недостатки" пхп и работу его от одного пользователя.

Итак. Возможно ли на вашем хостинге, используя скрипт phpRemView, ссылку на который я привел выше, получить доступ к чужим файлам?

 

[ukrhosting]

Я не силён в безопасности, но мне кажется что и тут он не прав. То есть он и дальше уверен что то что я вижу чужие сессии - это есть гуд. [/B]

Пишите программы таким образом чтобы нельзя было читать ваши сессии кодируйте все свои пароль в сессиях, причем здесь интересно хостер?

Можно поставить "саве моде" но я думаю через 10 минут после этого уважаемый Нортон будет нам звонить и расскажет что половина его сайтов не работает, и довод что теперь его сессии некому невидны его мало успокоит.

-~{}~ 18.03.04 21:36:

Риды для всех на хостинговом сервере тоже надо закрывать. Весьма желательно. Благо соответствующий патч занимает одну строку.

Пач чего ? ДНК интересно бы узнать эти 2 строчки и как их туда вставить

Итак. Возможно ли на вашем хостинге, используя скрипт phpRemView, ссылку на который я привел выше, получить доступ к чужим файлам?

Что вы имеете ввиду под чужими файлами? Для пхп все файлы чужие его юзер e.g.: httpd.

 

[confguru]

ukrhosting

Видать ничего не знаете об

open_base_dir
session.save_path
upload_tmp_dir

NO COMMENTS...

 

[fixxxer]

Пач чего ?

Точно могу сказать имя файла и дифф только для FreeBSD 4.x; в остальных случаях - ручками.

Для пхп все файлы чужие его юзер e.g.: httpd.

. Если php установлен как модуль Апача без дополнительных манипуляций с исходниками, это так. В этом случае, насколько я понимаю, используется следующая система: файлы в каталоге, соответствующем DocumentRoot (допустим, www) для данного виртуального хоста, имеют атрибуты rw-r----, овнера [логин-пользователя] и группу, из-под которой работает апач (либо же овнера httpd и группу, к которой относитася только [логин-пользователя] - тогда атрибуты зеркально меняются); дополнительно для выполнения предыдущего условия к создаваемым файлам на каталог www установлен атрибут +s. Таким образом, доступ к файлам имеют и апач, и пользователь.

Какие средства используются, чтобы предотвратить возможность чтения php-файлов из чужого DocumentRoot посредством php-скрипта?

-~{}~ 18.03.04 21:55:

admin, ну зачем так сразу?

-~{}~ 18.03.04 22:00:

admin, кстати, open_basedir бесполезна при отключенном safe_mode.

ukrhosting, я, в принципе, не дожидаясь ответа, уже знаю, что вам нужно - решение вопроса безопасности PHP, не используя CGI и не включая safe mode. Могу привато подсказать за какое-нибудь условное вознаграждение. Решение 100% рабочее, я его использую.

 

[confguru]

fixxxer

короче в поиск по форуму.. тема обсуждалась еще года 2 назад..

http://www.php.net/manual/en/features.safe-mode.php#ini.open-basedir

-~{}~ 18.03.04 22:27:

http://www.onlamp.com/pub/a/php/2001/03/29/php_admin.html

 

[Norton]

Автор оригинала: ukrhosting
Я бы промолчал но уж слишком силно он меня напряг…

А я не буду молчать в таких случаях. Если б я не напряг, напряг кто бы другой..Или использовал это в своих целях. В конце концов мы Вам деньги за это платим. И хотим безопасности.

Вданном случае пользователь в файле на котором стоял рид для всех хранил свой ФТП пароль причем в формате ftp://user:password@server/ (наверно чтобы его было легче найти). Зачем там было хранить пароль для меня навсегда останется загадкой.

Что-то я не припоминаю где я хранил такой пароль.
Пароль хранился в файле base.php . И риды для всех не факт что были.
Кроме того здесь самого начала обсуждались ещё и сессии.
Я сначала сказал, что возможно где-то виноваты мы, но почему это нельзя хранить пароли в php файле, я не понял.
Я кидал ссылки сюда где обсуждалась эта тема, Вы на это никак не отреагировали, кроме как что-то типа "Мы не обязаны учить програмировать наших клиентов"..

А сперва я действительно поверил что какая-то новая дыра толи в пхп толи в нашей хостинговой системе, оказалось все банально просто. 3 часа потерянного впустую времени.

Max Volgin,
www.ukrhosting.com

А это не дыра ? То что я сессии могу (мог) читать не дыра ?

 

[fixxxer]

admin

нинада меня учить секьюрить php. я на этом десяток собак съел.

Итак, все-таки open_basedir бесполезна без safe_mode, так как можно сделать exec.

 

[Norton]

Автор оригинала: ukrhosting
Пишите программы таким образом чтобы нельзя было читать ваши сессии кодируйте все свои пароль в сессиях, причем здесь интересно хостер?

Как это причем ? При том.

Можно поставить "саве моде" но я думаю через 10 минут после этого уважаемый Нортон будет нам звонить и расскажет что половина его сайтов не работает, и довод что теперь его сессии некому невидны его мало успокоит.

Меня успокоит лишь то что уважаемый админ сервера закроет дыры на которые ему явно указывают. Причём не я один. Или попытается хотя бы, а не будет воображать из себя умнее всех.

А если ставить safe mode - то предупреждать надо заранее.
Это всё равно что по ходу матча менять правила игры.

 

[Irbisus]

Да уж... Я смотрю что у вас тут как в армии; хороший хостер - мёртвый хостер
Я сам вообщем-то никакого отношения к вашему, так сказать, языку програмирования - РНР, не имею, но сказать по этому поводу мне есть что сказать. Я системный администратор и уже около 4-х лет занимаюсь поддержкой хостинговых компаний, то есть как вы понимаете напрямую знаю все ваши так называемые "дыры". Рассказываю ситуацию. Есть сервер, на нем "хостятся" около 400-500 сайтов. Каждый сайт типа оригинальный. Около 10% сделаны пользователями самими. Более 90% сайтов это сайты построенные на каких-либо готовых продуктах, которые в свою очередь рассчитаны на использование на отдельно взятом сервере (читай non-shared). Соответсвенно 50% из них (назовем их "грамотно написанные продукты") имеют свои конфигурационные файлы, которые позволяют настроить работу продукта с максимально возможной безопасностью. РЕАЛЬНО использующих такие возможности пользователей, ну скажем так, около 5%. Ну и что дальше? Я могу настроить РНР таким образом, что юзер ничего не сможет запустить, кроме двух-трёх команд и половина этого "добра", которым все пользуются, просто тупо не будет работать. Как вам такое? Только через 3 дня все эти юзера разбегутся к "дырявым" хостерам, потому что им по фиг что секьюрно, главное что его "кульная" прога не работает.
Насчет сессий. Вообще-то куда ложаться сессии можно указывать в самом РНР скрипте или конфигурации. Это раз. Во-вторых вы же знаете что такое .htaccess файлы? Здесь тоже можно указать куда ложатся сессии... Вариантов масса на самом деле. Ну а если мне по фиг мои сессии, то хостер то тут при чём?
А вообще-то способов взломать серевер/сайт достаточно и без вашего РНР. Реально есть много сайтов и на shared хостинге на РНР, к которым не придерёшься... Но люди думают о своих сайтах и данных. Ну а если хостишь фотографии кошечек, то не очень расстроишься если в один прекрасный день там будут голые негры... ведь правда?

 

[tony2001]

>Вообще-то куда ложаться сессии можно указывать в самом РНР скрипте или конфигурации. Это раз.
уважаемый админ, значит ли это, что "спасение утопающих - дело рук самих утопающих"?
т.е. грубо говоря, вы свою работу сделали, сервер работает, а все остальное вам до лампочки?
есть элементарные правила безопасности, которые никак не влияют на "кульные проги" ваших клиентов.
ничего, что вам стоит их прочесть?
это раз.

>Во-вторых вы же знаете что такое .htaccess файлы?
во-вторых, как много из ваших клиентов читали ман по Апачу и в курсе что такое ".htaccess" ?
админу хостинга не хотелось его настроить максимально секьюрно и удобно одновременно. ничего... пользователи сами виноваты, ага?
это два.

>Ну а если мне по фиг мои сессии, то хостер то тут при чём?
и правильно!
не хостинг для клиентов, а клиенты для хостинга.
а давайте заставим всех сначала crash-course по секьюрити веб-серверов пройти, да? всем будет хорошо, а вам лучше всего.

>А вообще-то способов взломать серевер/сайт достаточно и без вашего РНР.
конечно.
главное, чтобы админ был нормальный.
а с таким отношением - тут мало чем поможешь.

>Реально есть много сайтов и на shared хостинге на РНР, к которым не придерёшься...
вот к сайту автора топика, вероятно, тоже мало придирались.
и что?

>Но люди думают о своих сайтах и данных.
O!
как бы еще заставить админов про серверы думать - не подскажете?

>Ну а если хостишь фотографии кошечек, то не очень расстроишься если в один
> прекрасный день там будут голые негры... ведь правда?
я думаю, что и админ будет рад, если у него все сайты на хосте перемешают в кучу.
радости-то полные штаны, правда?
ламеры-клиенты виноваты ведь, ага?
с админа-то что возьмешь.. он кругом не виноват.

 

[Irbisus]

Кстати этот ваш примитивный phpRemView не знаю даже на каком хостинге работать будет... На HSphere он умирает сразу на выходе из юзерской домашней диры

-~{}~ 19.03.04 00:46:

Ну я же не писал вам здесь "грубо говоря", правда?
Вот ваш форум на shared хостинге? Если да, то есть ли у вас гарантия что его не сломают завтра? А про то сколько дыр было и будет в vBulletin и говорить не приходится...
Скажу вам по секрету вы наверное слабо себе представляете что такое shared хостинг в современном мире....

-~{}~ 19.03.04 00:48:

А насчёт правил безопасности... тут уж поверьте - в этой области МНЕ правил читать уже не нужно

 

[tony2001]

>Вот ваш форум на shared хостинге?
нет, а что?

>Если да, то есть ли у вас гарантия что его не сломают завтра?
поверьте, у нас админ слышал про секьюрити.
правда, admin ?

>Скажу вам по секрету вы наверное слабо себе представляете что такое shared хостинг в современном мире....
а по сути не ответите? только "тычками" в мою сторону?
жаль.. очень жаль..

-~{}~ 19.03.04 00:54:

>А насчёт правил безопасности... тут уж поверьте - в этой области МНЕ правил читать уже не нужно
ну тогда вы, я уверен, сможете проконсультировать тов. urkhosting, как ему настроить сервер и не затронуть "кульные проги" клиентов.
впрочем, МНЕ вы можете тоже не читать про то, как "хостер то тут при чём", если сломали хостинг. даже слесари с СТО отвечают за свою работу, а вы так безалаберно..
грустно.

 

[Irbisus]

Так тут как я понимаю сломали как раз не хостинг, а как раз сайт юзера...
>>Вот ваш форум на shared хостинге?
>нет, а что?
Вот видите... Так что думаю данный вопрос не можете ощутить в полной мере Вы можете настроить свой сервер как угодно вам и без ущерба для кого-либо...

 

[Demiurg]

Новый бронированый мерседес. Даже если вас убъют, мотор все равно будет продолжать работать! Короче, покупайте наши машины, а то все равно подохните.

 

[tony2001]

>Вот видите...
нет, не вижу.
не вижу причем тут конкретно этот хост.