Newsgroup: it.comp.os.linux.sys
Titolo: Blindatura apache (x chi fa hosting)

Riguardo alla direttiva safe_mode solitamente come vi comportate?
la lasciate On e buona notte o vi sbattete ad impostare 
safe_mode_include_dir per ogni applicativo (vedi squirrelmail ecc..)
Giusto per curiosità perché ho notato che buona parte dei provider
in circolazione la lascia tranquillamente On.
Ero anche curioso di sapere come si comportavano i vari plesk e C-pannel
al riguardo.


Io ho di default On su tutti i domini e php off sempre su tutti.
Bellissimo controsenso ma la sicurezza non è mai troppa. disattivo il 
php e anche se qualcuno dovesse riattivarlo (pressochè impossibile 
credo) si ritroverebbe in safe mode.
Cmq cazzate a parte (quello che ti ho appena scritto è altamente inutile).
dove ho i domini con php ON ho il safemode sempre ON eccetto alcuni 
virtualhost di nostra proprietà dove è off ma con accessi limitati via 
.htaccess.
Negli hosting pubblici tutto on.

 al riguardo.
Mah...non ne ho mai provato uno ma credo che questo tipo di scelte
siano sempre demandate all'amministratore di sistema.
Ciao
Beppe

 successivamente di tenerli sottocontrollo
Sotto questo aspetto mod_security non risolve il problema, pero' lo 
limita di parecchio (come anche le prestazioni del server se esageri con 
le regole...)
http://www.modsecurity.org/
~omar

 APACHE.
[ CUT ]
Be io ho la seguente configurazione in ogni virtual host (piu o meno 
modificata e adattata al singolo sito)
php_admin_flag engine On
php_admin_flag safe_mode On
php_admin_value safe_mode_gid On
php_admin_value allow_url_fopen off
php_admin_value open_basedir /var/www/htdocs/xxx:/tmp
php_admin_value register_globals Off

 è pur sempre necessario l'aiuto di tutti.
Allora do il mio aiuto.
Non dimenticatevi di firewallare TUTTO in entrata ed in uscita all'utente
con cui gira apache.
Fate in modo che fopen, wget o ftp verso server remoti non siano possibili.
Non c'è ragione per lasciare aperte quelle porte.
Max

 safe_mode_include_dir per ogni applicativo (vedi squirrelmail ecc..)
Consiglio vivamente la lettura di "Apache Security", O'Reilly. Da un bel
po' di idicazioni utili!
Da disabilitare senza tema l'allow_url_fopen e l'enable_dl, per
esperienza.
	appresamente,
	   Cthulhu
-- 
http://www.rlyeh.it/Rantolii/

 
http://www.modsecurity.org/
Vero', le query string maliziose sono sempre in aguato :)
Beppe

 Fate in modo che fopen, wget o ftp verso server remoti non siano possibili.
E come?
Ciao!

 e/o come vengono mantenuti.
Irrilevante, quando fai hosting ed hai un migliaio di domini non puoi
pretendere di controllare 1000 WebMaster o sbaglio?
quindi il problema è offrire la massima flessibilità mantenendo
l'ambiente il più possibile "jail".
la direttiva safe_mode è stata concepita non per stoppare errori di
programmazione ma per eliminare la possibilità di utilizzare PHP per
"sfogliare" aree del file system "sensisbili".
esempio:
<?
$file=fopen("/etc/passwd","r");
while($stringa=fgets($file))echo"$stringa<br>\n";
?>
e questo difficilmente può essere inteso come "errore di programmazione"
o no?



man iptables
owner
       This  module  attempts  to match various characteristics of the
packet creator, for locally-
       generated packets. It is valid in the INPUT, OUTPUT and POSTROUTING
chains, however  in  the
       INPUT  chain  only  TCP and UDP packets can be matched. Also note
that some packets (such as
       ICMP ping responses) may have no owner, and hence never match.
       --uid-owner userid
              Matches if the packet was created by a process with the given
effective user id.
       --gid-owner groupid
              Matches if the packet was created by a process with the given
effective group id.
.. e continua...
MAx

 ?>
troppo lungo :-)
<?
echo `cat /etc/passwd`;
?>
pero' chi te lo lascia fare?
~omar

 pero' chi te lo lascia fare?
lo stesso che assegna un indirizzo email standard per tutti gli utenti
così gli spammer non si devono sbattere a cercare un email valida?
whois lo sai usare immagino... quindi vedi tu.
www.napoliarts.com:x:104:100::/web/htdocs/www.napoliarts.com:/dev/null
www.corcione.net:x:105:100::/web/htdocs/www.corcione.net:/dev/null
www.deltags.com:x:106:100::/web/htdocs/www.deltags.com:/dev/null
www.gputignanoaward.org:x:107:100::/web/htdocs/
www.gputignanoaward.org
www.larsenmetal.com:x:108:100::/web/htdocs/www.larsenmetal.com:/dev/null
www.nuovacasoria.it:x:109:100::/web/htdocs/www.nuovacasoria.it:/dev/null
[cut]
www.antonioschiaretti.it:x:1550:100::/web/htdocs
www.leuzzo.it:x:1551:100::/web/htdocs/www.leuzzo.it:/dev/null
www.paradeltafeltre.it:x:1552:100::/web/htdocs/www.paradeltafelt
www.strullato.com:x:1553:100::/web/htdocs/www.strullato.com:/dev/null
 
[end]