Dotaz: bezpecnost

[asdasd]

Zdravim, zajimame co vsechno repektive body, jak postupujete po nainstalovani linuxu na server. Predevsim LAMP. Nebo repsketive jaky bezpecnostni prvky je potreba udelat. Diky

Odpovědi

[NN]

Ja bych si nejdrive ujasil, o co ti jde a v cem mas vlastne problem. Vubec neni jasne o cem mluvis, jestli o instalaci linuxu, LAMP, nebo bezpecnosti..

NN

[asdasd]

Jde mi o bezpecnost, coz je patrno z nadpisu. A predevsim pri pouziti apache,php, mysql ...

[Jendа]

Pokud jsi tam nějakou díru nezanesl, například chybnou konfigurací, tak žádné. Respektive pravidelně aktualizovat.

[asdasd]

tzn. pri "defaultnich nastaveni" jak samotnyho linux tak apache, mysql a php se neni ceho bat?

[H0ax]

V "defaultních nastaveních" je apache/php/mysql neprůstřelnej asi jako list papíru.

[Jendа]

Např.?

[H0ax]

Jsi na hostingu, který je takto "defaultně" (ne)nastaven. Pro prvních pár minutek srandy si zjistíš adresářovou strukturu webů, pak omrkneš práva a abys nebyl pro začátek moc zlej, tak si jenom najdeš všechny phpbbfora, přečteš si jejich config.php a to buď přes nezakázaný exec/shell_exec nebo přes mysql funkci load data infile. Loginy bychom měli, co s tím dál snad nemusím říkat . Php exec využijeme třeba pro změnu htaccessu, který bude redirectovat na malware stránky a nebo ještě líp, injectneme všechny index.php rovnou, nejsme troškaři

[Jendа]

Tady je problém v tom, že někdo nastavil virtualhosty, ale už ho jaksi nenapadlo zařídit, aby do sebe navzájem nemohly. Ale není to defaultní nastavení.

[H0ax]

Ok, takže default je když nejsou ani ti virtualhosti což na situaci nic nemění

[Jendа]

Když nejsou virtualhosti, nemůžeme lézt do souborů cizích virtualhostů… Máme práva jako běžný uživatel, lze se tedy bát lokálních root exploitů. Tomu pomůže zakázání exec-like funkcí, ovšem otázkou je, jestli to tazatel k něčemu nepotřebuje.

Já otázku bral jako „jestli je to bezpečné před útokem z venku“, ne před útokem uživatele hostingu - dokonce jsem myslel, že tazatel si ten LAMP používá sám.

[H0ax]

Otázka je obecná, takže se těžko odpovídá. Btw. neexistence virtualhostů ti nezabrání v lezení po filesystému nebo webrootu typu http://ip/kamarad_1, http://ip/kamarad_N. Hlasuji tedy pro konkrétnější dotaz nicméně to co jsem nastínil snad obecně stačí na pochopení, že "defaultní nastavení" není tak úplně ok.

[asdasd]

Kdyz uz jsme u toho, jak se tomu da zabranit?

[Jendа]

Spuštěním samostatného FastCGI procesu pod samostatným uživatelem pro každý VirtualHost nebo direktivou open_basedir + pozakazováním funkcí jako exec v konfiguráku.

[asdasd]

a jak se resi to, ze kdyz si do nejaky slozky das soubor .htaccess s vlastni konfiguraci php tak aby to nefungovalo, ale bralo to pouze defaultni nastaveni php

[rADOn]

Obligatni zaklad: povypinat nepotrebny sluzby. Nebo jeste lepe odinstalovat.

Prihlasovat se zasadne klicem. Prihlasneni heslem na roota pres ssh zakazat.

Projit /etc a povypinat co se da.

Pohrat si s nastavenim syslogu. Pokud bude blejt megabajty sracek, nebudes mit cas to zkoumat. A nehlidana masina je p0wnovana masina.

Nainstalovany IDS je fajn, ale opravdu tomu rozumet je imo prace na plnej uvazek. Portsentry je celkem pekna hracka, ne tak mocna ale taky ne tak slozita.

Nastudovat grantovani prav v mysql a dusledne pouzivat.

Tvrdsi jedinci zkompiluji vlastni staticky kernel. Dokonce i kdyz bys ho nechtel pouzivat, je dobry vedet jaky moduly dotycny zelezo opravdu potrebuje.

Poradek musi bejt. Kazdy soubor by mel byt dohledatelny v balickovacim systemu. Idealni je balit i vlastni produkcni kod, nebo ho aspon drzet nekde ve verzovacim systemu.

Pri defaultnim nastaveni LAMP serveru je nejvetsi dira aplikace, a to nezalepis zadnym softwarem ale jen lidma. Proklikat si obcas ratproxy nebo nejaky podobny nastroj pomuze. Trochu.

[NN]

Jenze tvoje otazka je asi tak konktretni jako dobry pokus flameware..

NN