Dotaz: Do čeho jsem se to nechal uvrtat ??

[Noems]

Zdarec, procházím tady to forum a zkusil jsem si nainstalovat webserver na zkoušku. Ovšem nepochopím jednu věc. To na tomto systému jako máte nahrané nějaké projekty i na ostrém provozu, nebo jen na hraní? Pokud to používáte jen na hraní tak to pak beru, a prej Linux je bezpečný, jdi do toho!! Děkuji ale systém který mi přes php vypíše kdekoliv na stránce třeba seznam uživatelů mě fakt šokuje

Viz příklad:

<? php
$ a = `cat / etc / passwd";
echo $ a;
?>

To si přátele snad děláte srandu, ne?

---

---

Odpovědi

[Adamec]

no nebude treba v tomto pripade problem v programatorovi php co si necha vypsat???

[okbob]

a) V /etc/passwd je jen seznam uzivatelu, neni to znepristupneny soubor b) Je zalezitosti programatora, aby nezobrazoval verejne data, ktera nemohou byt zobrazena. Kdyz v .NETu napisi skript, kterym zobrazim na webove strance uzivatele, tak je to totez c) V prostredich, kde se neda verit programatorum se pouzivaji techniky, ktere mate asi zablokovane nebo o nich nevite - SELinux, chroot

[okbob]

b) ktera by nemela byt zobrazena.

Otazka - mate aktivni SELinux?

[Michal Kubeček]

Je otázkou, jestli je tady SELinux něco platný, protože v unixových systémech se tak nějak předpokládá, že tabulka uživatelů je čitelná pro všechny (a je jedno, jestli je v /etc/passwd nebo jestli ji dostáváte od nějakého podivného NSS modulu), takže by některé programy (včetně Apache samotného nebo PHP v něm) mohly mít problémy, pokud byste jim ji chtěl znepřístupnit.

[pht]

Je otázkou, jestli je tady SELinux něco platný, protože v unixových systémech se tak nějak předpokládá, že tabulka uživatelů je čitelná pro všechny...takže by některé programy mohly mít problémy, pokud byste jim ji chtěl znepřístupnit.

Unix není bezpečnostně založený systém, takže bych na tom tak úplně nestavěl. Spousta programů dnes už nepočítá s unixovým (malým) zabezpečením, a tyto programy jsou zvyklé (už od dob openwall patchů na linux) nedostat přístup ke všemu po čem se sápou.

Seznam uživatelů můžete chtít schovat z nejrůznějších příčin. Takže jo do jisté míry SELinux platný je. Navíc v SELinuxu (i v apparmoru) lze nastavovat práva pro jednotlivé web app, čili nakonec se to web serveru ani týkat nemusí.

[Michal Kubeček]

Ono tu nejde ani tak o ten seznam všech uživatelů, problém vidím spíš v tom, že přístup k tabulce uživatelů je potřeba i k odpovědi na takové otázky jako "jak se jmenuji?", "kde mám domácí adresář?" nebo "jaký je můj defaultní shell"? Takže spíš než cestou zákazu čtení tabulky uživatelů bych to raději řešil tak, že tomu procesu podstrčím nějakou falešnou.

[pht]

Ty otázky samozřejmě klást můžete a můžete na ně i dostávat platné odpovědi (pokud je to povoleno). To, že unix kvůli tomu prohledává jakousi tabulku v textovém souboru, neznamená že to tak musí dělat každý systém, a tudíž privilegium dozvědět se informace o svojí identitě a o identitě ostatních uživatelů jsou fundamentálně odlišné věci. Podstrčení falešné tabulky je jen emulace starého chování, AFAIK se v tomto případě moc nepoužívá, protože ty otázky jsou odděleny už na úrovni volání libc.

[Michal Kubeček]

To, že unix kvůli tomu prohledává jakousi tabulku v textovém souboru

Nemusí být nutně v textovém souboru, máme NSS moduly.

neznamená že to tak musí dělat každý systém

Myslel jsem, že se tu bavíme o Linuxu (resp. glibc), ne o tom, co by teoreticky bylo možné na nějakém hypotetickém systému.

ty otázky jsou odděleny už na úrovni volání libc.

Teoreticky ano, prakticky ne. Koneckonců v POSIXových manuálových stránkách k getpwuid(), getpwnam() nebo getpwent() a podobným funkcím mezi přípustnými návratovými kódy nikde nevidím EACCES.

[pht]

On ten hypotetický systém je linux a to i bez SE (např. pomocí toho podhazování). A zrovna v tomto bych se o posix specifikaci neopíral, protože ta není zaměřena na zvýšenou bezpečnost. Že něco není 100% posix neznamená konec světa jak ho známe.

[Michal Kubeček]

Obávám se, že každý mluvíme o něčem jiném.

[x]

Zkuste to tady Hitchhiker's tool

[Radovan]

chroot

[Radovan]

Článek z 16. 12. 2003

[Michal Kubeček]

Pro případ, že by to nějakou náhodou bylo myšleno vážně a ne jako provokace:

1. V čem vidíte problém?
2. Na jakém systému to nejde?

[Noems]

Provokace to není, ale spustím nainstalovaný systém a předpokládám když je linux taková obrovská komunita, že je systém best off!

1 Problém vidím v tom, že nějaké registrované usery by měl vidět jen nějaký superadmin a ne kde v případě nějakého webhostingu..

2 Jede to na Debianu, myslím, že je to verze 6.

[okbob]

proc by mel byt seznam uzivatelu tajny??

Na hostingu pouziji minimalne chroot.

[Heron]

ad 1) Proč?

ad webhosting, pokud admin skutečně chce, tak lze zařídit běh webových skriptů ve svém vlastním prostředí a k jiným souborům nebude mít vůbec přístup. V ostatních komentářích najdete příslušné metody a dokonce odkaz na článek.

Jinými slovy, ten systém je nutno nastavit ke konkrétnímu provozu a pokud tam chcete provozovat nebezpečně aplikace, tak ty lze provozovat bezpečně oddělené.

Dále, pokud je to systém ve vaší správě (vy jste administrátor / root), tak je jen na vás, abyste věděl, co za programy tam máte a v takovém případě si tam nedáte program, který vypíše veřejně seznam systémových uživatelů (když už vám to tak vadí).

[Michal Kubeček]

1. Ona se spíš nabízí otázka, jestli klasický webhosting (s možností spouštění skriptů), běžící na jednom stroji bez aspoň nějaké úrovně virtualizace, není tak trochu přežitek a designová chyba.

2. Neptal jsem se, na jakém systému to funguje. Ptal jsem se na příklad systému, kde to nejde.

[l4m4]

Co podle tebe znamená best off? Tuto konstrukci lze použít leda s následujícím with či gerundiem, ukončit jí větu nedává smysl.

2) Otázka byla, na jakém systému to nejde. Pokud to poběží v nějakém kontejneru, tak samozřejmě v rámci kontejneru.

[pht]

Provokace to není, ale spustím nainstalovaný systém a předpokládám když je linux taková obrovská komunita, že je systém best off!

Je téměř nemožné udělat bezpečnostně univerzální systém který by uspokojil všechny uživatele. Standardní instalace linuxu (a to se ještě liší podle distribuce) má bezpečnost nastavenou tak, aby pokryla co největší spektrum uživatelů.

Pokud Vám standardní nastavení nevyhovuje, můžete to s příslušnou investicí vlastní práce do podoby, která se Vám líbí. Vysoká bezpečnost je vždy dělaná na míru přinejmenším vzhledem k tomu co a před kým chráníte. Best off je to proto, že to tak nastavit jde, ne proto, že byste to vytáhl z krabice, vrazil do CD mechaniky a najednou z Vás byl bezpečnostní master blaster.

[Matlák]

Best off je to proto, že to tak nastavit jde, ne proto, že byste to vytáhl z krabice, vrazil do CD mechaniky a najednou z Vás byl bezpečnostní master blaster.

+10^12 Windowsáci se nikdy nepoučí. Beztak je to troll (nebo trotl).

[jekub]

+10^12 Windowsáci se nikdy nepoučí. Beztak je to troll (nebo trotl)

Přesně tak, těch reakcí je tady až příliš.

[cronin]

Problém vidím v tom, že nějaké registrované usery by měl vidět jen nějaký superadmin a ne kde v případě nějakého webhostingu.

Pravdepodobne ste príliš mladý na časy, keď jedinými instant messaging systémami boli talk, mtalk, write a wall, preto vás koncept "viditeľnosti zoznamu používateľov" prekvapuje. Ako potom môžete žiť s vedomým existencie telefónnych zoznamov, obsahujúcich mená, adresy a telefónne čísla státisícov občanov?

[Heron]

I když jde imho o provokaci, tak ano, používá se to na hraní v ostrém provozu (), na takové hraní jako jsou třeba bankovní systémy, burzy cenných papírů, řízení průmyslových provozů, renderovací farmy a pokud bychom se vrátili zpět na zem tak na většině webových serverů, routerů, embeded krabiček atd.

A co přesně ti na tom vadí? Že systém dělá přesně to, co po něm chceš? Chceš vypsat soubor, tak ti jej vypsal. Vadí ti, že uživatel k němu má práva? Tak ten systém dále studuj, ať pochopíš proč a potom si také můžeš hrát s ostrými servery.

[R]

Skript nefunguje.

[Michal Kubeček]

Ten skript je totiž tak strašně nebezpečný, že ho před zveřejněním raději upravil tak, aby nefungoval a aby jen opravdoví znalci poznali, jak původně vypadal. :-)

[petka]

Ano nefunguje, spravne je to nejak takhle .

<?php
$a = shell_exec("cat /etc/passwd");
echo $a;
?>

[AraxoN]

Stále nič...

Warning: shell_exec() has been disabled for security reasons in /var/www/bububu-nebezpecny-skript/test.php on line 2

[Xerces]

No ty krávo, to je dotaz. Admini dejte to prosím do nějaké sekce nejlepší dotazy na abclinuxu.cz Promiň Noemsi, seriozní odpovědi najdeš víše, sám to pochopíš, až do toho trochu pronikneš.

[mozog]

Po precteni tohoto dotazu jsem se musel podivat do kalendare, jestli neni prvniho dubna.

A ono neni.

[pavlix]

Blbosti, na to vás užije :D.

[vain]

No abych odpověděl na dotaz. Ne, neděláme si srandu, ale ty evidentně ano. Povedl se!

[SPM]

Tak ten soubor smaž - pak už ho nikdo neuvidí ;)

[rastos]

systém který mi přes php vypíše kdekoliv na stránce třeba seznam uživatelů mě fakt šokuje

Viz příklad:

<? php
$ a = `cat / etc / passwd";
echo $ a;
?>

To si přátele snad děláte srandu, ne?

Len tak pre zaujímavosť, čo urobí rovnako nakonfigurovaný web server bežiaci na windowsoch, ktorému dáš

<? php
$ a = `net user`;
echo $ a;
?>

[mrzout]

Jste tak blbej nebo jen provokujete?

Pokud si vy sám nainstalujete na server službu a dáte jí k něčemu práva, co je špatného na tom, že to pak umožňuje?

Navíc mícháte dohromady zcela jiné věci:

-Linux

-web server

-PHP

-práva v PHP

[petka]

Vas kod mi vraci prazdnou stranku.

[petka]

Tak nevim jestli  to mam brat jako nejaky zert , ale ta syntaxe se mi nejak nezda .

Pokud si chci spustit v php program , tak pouzji funkci exec popripade shell_exec .

Sam si takhle spoustim bash scripty a ovladam tak system . Cele by to vsak nefungovalo , protoze jako uzivatel www-data nemam dostatecna prava , na radu prichazi uprava suroers