Script-Bugs auf virtuelle Hosts beschränkt?

[casper99]

Hi,

ich möchte auf meinem Root Server mehrere verschiedene Kundenpräsentationen haben. Quasi als Reseller.

Ich frage mich nun, was passieren kann, wenn alle User
selbst cgi und PHP scripts hochladen und ausführen dürfen.

Jeder Kunde erhält ja durch confixx einen virtuellen Host (Apache).
Sind somit security bugs wie sie ja oft z.B. in PHPbb auftreten auf diesen Kunden beschränkt?

Anders ausgedrückt, können andere Daten auf dem Webserver beim Hack eines virtuellen Hosts auch betroffen sein?

Danke soweit.

[captaincrunch]

Anders ausgedrückt, können andere Daten auf dem Webserver beim Hack eines virtuellen Hosts auch betroffen sein?

Einfache Frage, einfache Antwort: Ja.

[casper99]

schade :-(

Also sollte man solche php scripts für andere user nicht zulassen,
oder hilft mir da der safe_mode weiter??

[arty]

Der Safe Mode ist nicht sicher.

Auf einem Shared Server solltest du auf PHP als CGI setzen.

bye
arty

[rootsvr]

PHP als CGI ändert auch nichts an der Tatsache, erst kombiniert mit suExec o.ä. bringt es was, denn nur nen cgi statt mod_php installiert zu haben würde immer noch die gleichen User haben, oder nicht?

Ne bessere Möglichkeit ist IMHO:
das fastcgi/suexec HowTo mit unterschiedlichen Usern, Openbasedir und entsprechenden Rechten. Alternativ kann man das sicher noch weiter treiben über Jails/Chroot.

In wie weit conffix oder Plesk das eh so machen weiß ich nicht.

Deine Frage ist sehr allgemein gehalten, so wie: "können bei einem Autounfall Menschen getötet werden" Die antwort darauf muß JA sein. Es hängt immer von der Konfiguration ab und selbst mit einer sicheren Konfig kannst Du irgendwie über neue Sicherheitslücken getroffen werden. So könnte ein Fehler bei einem User halt nen local root Exploit nutzen und damit die ganze Kiste knacken.

[casper99]

Also,
laut Konfigurationsdateien:

PHP läuft im safe_mode
"oben_base_dir" ist für PHP gesetzt auf entsprechende user-verzeichnisse

Apache
-----
suExec ist mit SuExecUserGroup auf entsprechenden Kunden (user) gesetzt


der "httpd2-prefork" ist als root gestartet.
Die Kindprozesse als user "www"

Wo kann ich sehen, daß PHP wirklich suExec benutzt und nicht als Modul läuft??
In der httpd.conf wird kein mod_php geladen,
in der phpinfo Funktion zeigt er keine Infos dazu.

Wäre das dann die Konfig, die Ihr auf Schlag als "sicher" ;-) betrachten würdet. (Ich weiss: es gibt keine vollk. sicherheit ;-) ))

[arty]

Wo kann ich sehen, daß PHP wirklich suExec benutzt und nicht als Modul läuft??

bist du dir sicher, dass ein Rootserver das richtige für dich ist?

bye
arty

[casper99]

jo

[Der-Tim]

jo

Ich glaube kaum...

[casper99]

wetten?? ;-)

Habs ja gefunden...

[Der-Tim]

Ganz im Ernst: Du solltest lieber zu einem Provider wechseln, der Dir einen managed Server stellt... Ich glaube nicht, dass Du bei einer solchen Fragestellung und der darauf folgenden Reaktion in der Lage bist einen Server zu administrieren...

EDIT: Kleiner Tipp > mod_chroot und mod_security

[duergner]

Oder der Post von Joe User von vor ein paar Tagen. Da gab's einige interessante Ansätze.

[casper99]

ok. die "suExec" Geshichte ist ja schonmal ganz nett.
Eine Application-Level Firewall wie "mod_security" ist denke ich auch ein guter Ansatz.

Werde mich damit mal etwas beschäftigen.

Danke soweit.

[metrix]

hat einer Hintergrundwissen wie die großen Provider wie Strato, 1und1 & Co. das Problem angehen? Die müssen ja auch sicherstellen, dass nicht ein Kunde zig tausend andere Kunden mit abschießt...

[Joe User]

hat einer Hintergrundwissen wie die großen Provider wie Strato, 1und1 & Co. das Problem angehen?

Grundlegende Sicherheitsmechanismen, eigene Distributionen, diverse selbstentwickelte Patche, etc...

[mediman]

hat einer Hintergrundwissen wie die großen Provider wie Strato, 1und1 & Co. das Problem angehen? Die müssen ja auch sicherstellen, dass nicht ein Kunde zig tausend andere Kunden mit abschießt...

I.d.R. nutzen sie spezielle Software wie z.B. Virtuozzo, HSPComplete.

[lord_pinhead]

Eine Application-Level Firewall wie "mod_security" ist denke ich auch ein guter Ansatz.

Application-Level Firewall??? Bin mir zwar nicht sicher wo du den super Begriff aufgeschnappt hast, aber ich kann mal wieder lachen, danke :D

[mediman]

Eine Application-Level Firewall wie "mod_security" ist denke ich auch ein guter Ansatz.

Application-Level Firewall??? Bin mir zwar nicht sicher wo du den super Begriff aufgeschnappt hast, aber ich kann mal wieder lachen, danke :D

mod_security ist eine solche, denn so nennt man sich in Applikationen integrierende FW´s.

Mag ja sein, dass er nicht wirklich weiss, wovon er redet (wird hier erstaunlich oft zum Problem gemacht, na ein Glück, dass ihr alle Kernel compilend geboren seid), aber der Begriff ist korrekt.

just my 2 cents

[rootsvr]

Application-Level Firewall??? Bin mir zwar nicht sicher wo du den super Begriff aufgeschnappt hast, aber ich kann mal wieder lachen, danke :D

Dann lach mal ;-)

http://www.heise.de/security/artikel/69070
könnte es her sein, aber der Begriff ist Korrekt, weil ja mod_security auf application ebene filtert, Du z.B. bestimmt php request passieren läßt, andere nicht. eine normale Firewall ist ja nur ein Portfilter. Also nicht so vorschnell junger Padawan.