CPS (Code Protection System)

[Dr.Chip]

CPS (Code Protection System)

Написал систему защиты файлов на веб-сервере CPS (Code Protection System). Она отслеживает любые малейшие изменения в файлах на сервере, а также обнаруживает новые файлы. Имеет модуль оповещения по e-mail. Буду благодарен, если протестируете её, дадите советы и т.д. Кстати, думаю многим она пригодится.

Последнюю версию системы качайте на моем сайте(временном): http://www.my.codingclub.ru
Заранее благодарен!

З.Ы.
Прошу совета, насчет защиты кода скрипта системы от просмотра другими скриптами типа хакерского шелла. Chmod'om как я понял эту проблему решить нельзя

 

[WP]

Концептуальный вопрос: нах?

 

[BRat]

ты бы хоть html от логики отделил чтоли..

 

[Dr.Chip]

Автор оригинала: WP
Концептуальный вопрос: нах?

Чтобы, если тебе шелл подгрузят или незаметно встроят какой-нибудь код в один из твоих скриптов, ты об этом сразу же узнал!

-~{}~ 28.07.06 18:20:

Автор оригинала: BRat
ты бы хоть html от логики отделил чтоли..

Сайт пока временный, времени нет!

 

[Gorynych]

WP

Концептуальный ответ: проверка целостности скриптов на сервере заказчика иногда очень помогает при ответе на вопли типа "ваш скрипт у нас перестал работать!"

Dr.Chip

1) хм... дайте подумать. Отслеживать малейшие изменения в файлах на сервере можно: а) с помошью системы контроля версий; б) методом периодического (по cron) обхода указанных каталогов, обсчета контрольных сумм найденных в них файлах и сверкой их с эталонным значением (после чего, ага, сигнализировать на мыло).

можно поинтересоваться: чем собственно оригинальна ваша система. Пару слов так сказать, а то не понятно зачем что-то скачивать и т.п.

2) частично проблема так называемого "хакерского шелла" не в правах доступа, а в дырах используемой системы управления контентом, через который такие скрипты изначально в систему и пролезают и в дальнейшем работают с теми же правами, что и честные скрипты. Права доступа больше помагают уберечься от назойливых соседей.

борьба с хаккерским шеллом больше основана (имхо, т.е. мое сугубо частное мнение) на создании фильтров запрещающих те или иные запросы, обращения к веб-серверу + периодическом анализе логов обращений с позновательной целью и целью расширения набора используемых фильтров.

 

[Dr.Chip]

Автор оригинала: Gorynych
WP

Концептуальный ответ: проверка целостности скриптов на сервере заказчика иногда очень помогает при ответе на вопли типа "ваш скрипт у нас перестал работать!"

Dr.Chip

1) хм... дайте подумать. Отслеживать малейшие изменения в файлах на сервере можно: а) с помошью системы контроля версий; б) методом периодического (по cron) обхода указанных каталогов, обсчета контрольных сумм найденных в них файлах и сверкой их с эталонным значением (после чего, ага, сигнализировать на мыло).

можно поинтересоваться: чем собственно оригинальна ваша система. Пару слов так сказать, а то не понятно зачем что-то скачивать и т.п.

2) частично проблема так называемого "хакерского шелла" не в правах доступа, а в дырах используемой системы управления контентом, через который такие скрипты изначально в систему и пролезают и в дальнейшем работают с
теми же правами, что и честные скрипты. Права доступа больше помагают уберечься от назойливых соседей.

борьба с хаккерским шеллом больше основана (имхо, т.е. мое сугубо частное мнение) на создании фильтров запрещающих те или иные запросы, обращения к веб-серверу + периодическом анализе логов обращений с позновательной целью и целью расширения набора используемых фильтров.

Моя система не претендует на уникальность, это одна из альтернатив!
В чем я вижу плюс, это легкость в установке и настройке, т.е. закачал, настроил несколько параметров и готово!

Насчет шелла, Вы меня не правильно поняли. Система создана не для предотвращения от закачек шеллов, а для оповещения о них.
Мой вопрос заключается в том, как лучше скрыть код скрипта от чтения.

 

[WP]

Dr.Chip
> Чтобы, если тебе шелл подгрузят или незаметно встроят какой-нибудь код в один из твоих скриптов, ты об этом сразу же узнал!
Не подгрузят, ибо у меня руки прямые. Бороться с шеллами не надо, это типа охоты на ведьми. Надо код писать грамотно.
> Насчет шелла, Вы меня не правильно поняли. Система создана не для предотвращения от закачек шеллов, а для оповещения о них.
Понял я правильно. Это глупость.

 

[Dr.Chip]

Автор оригинала: WP
Dr.Chip
> Чтобы, если тебе шелл подгрузят или незаметно встроят какой-нибудь код в один из твоих скриптов, ты об этом сразу же узнал!
Не подгрузят, ибо у меня руки прямые. Бороться с шеллами не надо, это типа охоты на ведьми. Надо код писать грамотно.
> Насчет шелла, Вы меня не правильно поняли. Система создана не для предотвращения от закачек шеллов, а для оповещения о них.
Понял я правильно. Это глупость.

Вообще это сообщение не тебе было адресовано! Извини, я понял, какой ты супер-программер!

 

[WP]

Dr.Chip
Да не, ты просто пойми всю абсурдность сей затеи.

 

[Dr.Chip]

Автор оригинала: WP
Dr.Chip
Да не, ты просто пойми всю абсурдность сей затеи.

ОК, я не против дискуссии, даже за. Главное, чтобы были обоснованные доводы! Давай приводи свои, а я свои!

 

[MadGreen]

предотвращать надо взлом, а не украшать отчет о его появлении...
если скрипт сломан сравнить файл исходник с серверной копией труда не составляет...

 

[HraKK]

А ты уверен что твоя система защиты не будет очередной дырой для этого взлома?)

 

[Dr.Chip]

Автор оригинала: MadGreen
предотвращать надо взлом, а не украшать отчет о его появлении...
если скрипт сломан сравнить файл исходник с серверной копией труда не составляет...

А если у тебя до фига каталогов и скриптов на серваке, все их сравнивать будешь?

-~{}~ 29.07.06 14:39:

Автор оригинала: HraKK
А ты уверен что твоя система защиты не будет очередной дырой для этого взлома?)

На 100%

 

[WP]

Dr.Chip
Идиотизм полный.

 

[Romantik]

почему идиотизм?
WP получаете предупреждение!
Свои доводы оставляйте при себе, особенно подобные!
давй конструктивную критику а не ругательства!
всякая идея имеет здравое зерно- часто нет смысла юзать CVS подобие или виртуальные хостинги такие дырявые или времени нет следить- а подобные вещи кому-то и помогут.
Респект автору, пусть и не идеально зато честно и для всех.

 

[Dr.Chip]

Автор оригинала: Romantik
Респект автору, пусть и не идеально зато честно и для всех.

Большое спасибо Вам за поддержку!

2WP

Не понимаю твоих выпадок в мою сторону, я же не впаривую эту систему тебе за деньги. Я знаю многих людей, кому она уже пригодилась, особенно на бесплатный хостингах! Так что давай жить дружно, а к критике я всегда хорошо относился, но к обоснованной!

 

[MadGreen]

Автор оригинала: Dr.Chip
А если у тебя до фига каталогов и скриптов на серваке, все их сравнивать будешь?

нет, только те которые перестали работать... в принципе не сложно...
я просто с трудом представляю такую систему работающую у заказчика на сервере (на случай ручного вмешательства кривыми ручками заказчика сам твой скрипт не защищен от изменений)
а по поводу хака скриптов - ну даже если и перестанут работать некоторые заказчик даст урлы битых, а по ним проверить пару файлов не проблема...
да и не было еще за 5 лет ниразу изменений в кодах скриптов на сайте...

-~{}~ 29.07.06 22:19:

(ИМХО)

 

[WP]

Romantik
Это лишь IMHO. Идиотизм это не ругательство если я не ошибаюсь)
Конструктивно:
1. Для того чтобы внести изменения/закачать что-то новое придется совершать много телодвижений.
2. Если скрипт пишет куда-то, например, сессии или шаблоны сохраняет в файлы, заливает аватары, это опять геморрой.
3. На всех нормальных хостингах скрипты не могут заливать куда-то что-то без соответствующего chmod'а.

 

[Wicked]

конструктивно:
4. как быть с мусорными файлами типа зааплоаженных картинок или скомпиленных смарти скриптов?

 

[Gorynych]

привожу контекстно зависимый пример:

WP
Идиотизм полный.

все соглашаемся с самим WP, что это не оскорбление

-~{}~ 29.07.06 22:39:

по теме:

1. вообще подсчет контрольных сумм программных частей передаваемой заказчику системы довольно старый способ. Заказчика о нем предупреждают, Помимо установки на сервер заказчика делается два контрольных диска-снимка (для заказчика и для иполнителя)

2. в любом случае отслеживание не подвергался ли программный код изменениям/модификациям это всегда ОЧЕНЬ полезное действо.

3. Dr.Chip

Моя система не претендует на уникальность, это одна из альтернатив!

Вы меня тоже не поняли. Я хотел бы услышать (а не скачать и разобраться самому) на чем основана и как организована система (если уж вы ее предлагаете свободно и открыто).