Jak zabezpieczyc PHP SHELL

[Algebras0101 0]

Witam

mam pewien problem i nie wiem jak go rozwiazac

zaczynamy ;]

 

Posiadam serwer na netshock.pl

powiedzmy ze nazwa wykupionego serwera to: jasio.cvv.pl

*cvv.pl bo taka maja subdomene.

 

Serwer jasio posiada wiele stron ktore mieszcza sie na nim. Kazdy ma stworzone dane miejsce na serwerze (powiedzmy ze kazdy ma po 30 MB quoty.

Swoj login i haslo do serwera ftp.

 

Gdy wysle na swoj serwer ftp PHP SHELLA to mam dostep do pozostalych stron zamieszczonych na moim serwerze.

W jaki sposob moge sie zabezpieczyc przed takim czyms jak PHP SHELL?

Abym nie mial takiej wpadki ze:

Posiadam 5 stron na serwerze, kazdy ma swoj login i haslo do serwera ftp i wiecej nie moze sie poruszac po serwerze moim.

Prosze o pomoc.

Przepraszam za to ze nie wyrazilem sie dosc jasno,

[MiSi3kK 16]

open_basedir dla każdego konta powinno załatwić sprawę. - o ile skrypt pracuje w oparciu o funkcje php.

 

Te konta to osobne subdomeny??

Jeśli tak to wydaje mi się, że tym powinien się zająć admin serwera, a jeśli tego jeszcze nie zrobił to źle o nim świadczy.

 

Inne konta też widzisz??

[Algebras0101 0]

Widze tylko te konta ktorer sa na moim serwerze.

Chce sie przed tym zabezpoeczyc abym nie bylo tak ze jesli ktos mi sie wwali na dziurawy skrypt do jednego konta ftp to nie chce aby po wyslaniu php shella mial dostep do calego mego serwera.

Tak samo sie dzieje na home czy na nazwie.

 

Stwarzam pare kont ftp dla roznych stron i nie chce aby mial pozniej niespodzianke ze uzytkownik jednego konta ftp bedzie mial dostep do calego serwera.

[MiSi3kK 16]

Dla każdego konta musi być osobny vhost, inaczej chyba tego nie rozwiążesz. Osobny vhost i open_basedir na to.

Jeśli to tylko konta ftp to chyba nic nie zdziałasz. Na zwykłych kontach tak będzie... rozglądnij się może za resellerem.

[Prohost 345]

open base nic nie da. Trzeba php na cgi/fcgi mieć.

[pleple 0]

open_basedir będzie się sprawdzał dopóki ktoś nie znajdzie kolejnego obejścia (przez jakiś moduł niezabezpieczony itp.). Przeniesienie PHP do FastCGI jest jednym ze sposobów na to żeby PHP działało w procesie odrębnym od serwera HTTP, na UID/GID użytkownika. A, jak mniemam, to miał Prohost na myśli..

[kaczy 0]

Problem jest tu nieco inny, ale chyba nie wszyscy doczytali od początku do końca o co chodzi... po prostu jednego konta na hostingu współdzielonym NIE dzieli się na kilka mniejszych w celu dalszej odsprzedaży/udostępnienia.

 

Myślę, że jeśli potrzebujesz tego typu usług powinieneś po prostu wykupić jakieś konto reseller/serwer vps.

[pleple 0]

Samo wykupienie VPS nie wystarczy, należy je jeszcze odpowiednio skonfigurować. Nie wystarczy bowiem iż każda strona będzie w osobnym virtualhoscie. Stąd też ja i prohost nieco rozszerzyliśmy temat. W przypadku resellera prawdopodobnie problemu nie będzie bo powinno to być odpowiednio skonfigurowane przez usługodawce.

[kafi 2425]

open_basedir będzie się sprawdzał dopóki ktoś nie znajdzie kolejnego obejścia (przez jakiś moduł niezabezpieczony itp.). Przeniesienie PHP do FastCGI jest jednym ze sposobów na to żeby PHP działało w procesie odrębnym od serwera HTTP, na UID/GID użytkownika. A, jak mniemam, to miał Prohost na myśli..

 

Podaj mi jakiegoś hostingodawcę, który wykreuje kilka UIDów systemowych dla pojedynczego konta

Bo inaczej - jeśli wszystkie vhosty chodzą na jednym, to co da ci to zabezpieczenie?

 

Tak jak wcześniej mówiono - konto resellerskie i wtedy każdemu osobne konto z osobnym UIDem.

Ewent. napisanie do admina, aby na każdego vhosta założył customizowanego basedira przez php_admin_value, ale wątpie, żeby był na to chętny

[pleple 0]

Podaj mi jakiegoś hostingodawcę, który wykreuje kilka UIDów systemowych dla pojedynczego konta

Ja nie wiem czy czytanie ze zrozumieniem to taki duży problem? Przecież ja nie piszę, że on ma sobie tak skonfigurować system w usłudze shared hosting. Jedyni usługodawcy, którzy zgodziliby się na takie zmiany dla pojedynczych użytkowników to Ci posiadający bardzo mało kont. Kiedy bowiem jest ich wiele ważna jest unifikacja konfiguracji.

 

Bo inaczej - jeśli wszystkie vhosty chodzą na jednym, to co da ci to zabezpieczenie?

Tak jak wcześniej mówiono - konto resellerskie i wtedy każdemu osobne konto z osobnym UIDem.

O, a tu potwierdzasz to co napisałem (i do czego się przyczepiłeś..).