Sicherheit

[moppi]

Hallo,
nachdem viele geraten haben einen Wrapper zu installieren wenn man mehrere Kunden hostet habe ich mir suPHP installiert.

suPHP ist ja für PHP wie der name schon sagt aber wie sieht es aus wenn jemand perl scripte ausführt? Ist dort ein ähnliches Problem wie bei PHP?

danke
daniel

[[nix]pepe]

SuExec.

[moppi]

Ja su EXEC soweit ich weiss erfüllt suPHP die selbe Funktion schneller und einfacher.

Das wie schon erwähnt habe ich auch nun drauf sollten noch irgendwelche wrapper installiert werden?

daniel

[dodolin]

Ja su EXEC soweit ich weiss erfüllt suPHP die selbe Funktion schneller und einfacher.

Dann weißt du falsch. :)
suEXEC ist ein CGI-Wrapper für jegliche CGIs, suPHP ausschließlich für PHP. Deshalb kann man IMHO auch PHP gleich über suEXEC laufen lassen, aber schaden tut suPHP ja auch nicht. Nur brauchst du eben für andere CGIs dann sowieso noch sowas wie z.B. suEXEC.

[moppi]

Da habe ich nu schon in eurem schlauen howto gelesen...

gibt es denn ein HOWTO dafür?

[dodolin]

Wofür?
suEXEC?

-> http://www.debianhowto.de/en/php_cgi/index.html
-> http://httpd.apache.org/docs/suexec.html

reichen dir nicht?!

[moppi]

ich hatte es nur auf der deutschen seite versucht. darunter hatte ich nichtts gefunden.

danke

[moppi]

aber mal ernsthaft benötige ich suEXEC?
Ich habe jetzt suPHP drauf da viel PHP eingestzt wird.

Werden Perl Scripte wenn Confixx die vHosts anlegt nicht genauso unter dem benutzer ausgeführt? Oder auch nur unter 'wwwrun' ich habe leider von perl nicht viel ahnung.

[dodolin]

Ohne suEXEC oder einen sonstigen Wrapper werden Perl-Skripte unter der UID des Apachen ausgeführt, was äusserst bedenklich ist. Es gelten die gleichen Dinge, wie man im Scripting-Forum im gepinnten Thread zu mod_php v. php-cgi nachlesen kann. Was ich mich allerdings die ganze Zeit frage: Wie kommen Leute auf die Idee, "Webhosting" anzubieten, wenn sie nichtmal von solch elementaren Dingen Ahnung haben? Naja, mein Problem ist das ja nicht, aber schade um die armen "Kunden", die immer wieder von solchen Klitschen über den Tisch gezogen werden.

[moppi]

Moment mal -

zur Zeit sind auf dem Gerät nur Seiten die aus meiner Herkunft sind.
Daher brauchte ich mir darüber keine gedanken machen.

in zukunft werden aber auch andere dort seiten pflegen und ich möchte nicht ständig von denen die post bei mir haben.

ich habe seit über einem jahr server am laufen die ich auch pfelege bzw patches einspiele und bisher gab es keine probleme.

es kann sicherlich sein das ich nicht über dein wissen verfüge, jedoch sollten doch bei einem solch technisch versiertem forum derartige wertungen fern bleiben, da sie meines erachtens nicht hierher passen.

[[nix]pepe]

schön und gut,

dann musst du uns aber nicht angreifen, wenn wir versuchen dir Tips zu geben bzw. dir die Lösung auf deine Frage nennen. Wenn du dir deine Antworten nochmal durchliest, wolltest du es nicht verstehen und hast uns zusätzlich noch angemacht.

[jamesb]

es kann sicherlich sein das ich nicht über dein wissen verfüge, jedoch sollten doch bei einem solch technisch versiertem forum derartige wertungen fern bleiben, da sie meines erachtens nicht hierher passen.

Da hast du zwar sicherlich recht, aber leider kommt es viel zu oft vor, dass eben genau das passiert, was dodolin oben so streng bewertet. Und glaube mir, er meint es bestimmt nicht persönlich :-)

JamesB

[moppi]

Fehler und Probleme können uns alle ereilen auch wenn man über gewisses wissen verfügt.

jeder raucher weiss wie schädlich das rauchen ist :D

persönlich nehme ich das schon, denn er ist ja sehr aktiv im forum nur hat er diesen satz nicht schon als signatur ich lese den bei jeden 3ten posting.

wenn mann einen eigenen flohzirkus hat findet man das auch witzig, wenn man sich jedoch an den nebenwirkungen stört sollte man ihn besser auflösen.

[dodolin]

Und glaube mir, er meint es bestimmt nicht persönlich

Sicher. Deshalb war meine Aussage auch allgemein formuliert und nicht auf Moppi speziell gemünzt. Und wenn man mal genau reinliest, wird man vielleicht merken, dass ich eigentlich nur Moppis Bestes will. Es ist doch zu seinem eigenen Vorteil, wenn ich ihn darauf hinweise, dass er sich das vielleicht nochmal überlegen sollte, was er da vorhat. Wer sich dadurch persönlich angegriffen fühlt, dem kann ich leider nicht helfen. Aber für mich ist hier EOD, wer möchte, kann das gerne per PN mit mir ausdiskutieren...

Schließlich behaupte ich mal, dass ich in diesem Thread immerhin derjenige war, der Moppi am meisten geholfen hat (oder sind jetzt noch Fragen offen, dann stellen!), das sollte man nicht vergessen...

[moppi]

wir wollen ja hier keinen streit auslösen, jedoch fand ich deine wertung schon etwas daneben.

ich weiss selber das wenn die kiste nicht läuft dann ist scheisse. und das mit der verantwortung das problem entstand ja nicht erst durch computer.

nun wieder zum eigentlichen problem zurück, suEXEC muss also speziell im apache mit eincompiliert werden habe ich das reichtig erfasst?
Oder gibt es einfachere Möglichkeiten?

ich werde mir mal schnell die andere platte reinbrummen und das insallieren, wenn ich schon dabei bin wollte ich gleich einen apache 2.0 bauen macht das probleme? zudem wollte ich die letzte php 4 version nehmen. gibts da theater mit confixx?

[moppi]

So dank debianhowto.de und dem entsprechenden link zur apache doku habe ich etwas gefunden, und siehe da der wrapper ist auf meinem system bereits drauf. also suexec läuft.
Dann habe ich die optionen ermittelt:

Code: Select all

p15136049:/tmp/download # suexec -V
 -D DOC_ROOT="/home/www"
 -D GID_MID=96
 -D HTTPD_USER="wwwrun"
 -D LOG_EXEC="/var/log/httpd/suexec.log"
 -D SAFE_PATH="/bin:/usr/bin"
 -D UID_MID=96
 -D USERDIR_SUFFIX="public_html"

leider ist doch dort die GID_MIN nicht richtig gesetzt oder? sie müsste 30 sein oder sehe ich das falsch?

edit:
ich habe jetzt mal euer binary aufgespielt aus der downloadsektion.
dann erhalte ich im fehlerlog von suexec nur diese eine meldung auch wenn ich perl scripte mehrmals ausführe:

Code: Select all

[2003-08-17 15:06:40]: info: (target/actual) uid: (web2/web2) gid: (ftponly/ftponly) cmd: send_mail.pl

ich weiss nicht weiter, wie gesagt verwende euer binary wenn ich die optonen einsehen will erscheint folgendes:

Code: Select all

p15136049:/home/www/web9/html # suexec -V
suexec: error while loading shared libraries: libexpat.so.1: cannot open shared object file: No such file or directory

Was nun :D ?

[rootmaster]

leider ist doch dort die GID_MIN nicht richtig gesetzt oder? sie müsste 30 sein oder sehe ich das falsch?

warum ??

Ich habe leider keine anleitung gefunden wie ich suexec neu kompilieren kann. ist das ähnlich dem suphp?

Wo bekomme ich suexec source code her? ich suche und such...

cd apache/src/support
make clean
make suexec

"back to the roots"