mod_security und php file upload

[ohgott]

Als ich letztens ein Sicherheitsproblem auf dem Server hatte wurde mod_security empfohlen. Das Problem ist, das Kunden Webseiten erstellen können, mit denen alle möglichen Files hochgeladen werden können (zB php-files). Das möchte ich unterbinden.
Jetzt habe ich mir alle möglichen howtos für mod_security durchgelesen, weiss aber immer noch nicht, wie ich zB für file-uploads nur bestimmte Dateitypen zulassen könnte. Nur wie man hochgeladene Dateien an ein externes Programm übergibt zum checken.

Hat da jemand noch eine gute Anleitung für mich?

[lord_pinhead]

Ich glaub zwar nicht das es mit mod_sec gehen könnte, aber du kannst ja mal mit SetInputFilter rumspielen und es versuchen, aber ohne jegliche gewähr. mod_upload wäre glaube ich das nächste was du nehmen könntest, ansonsten die Kunden darauf ansprechen.

[ohgott]

Hmm, auf mod_upload bin ich auch gerade gestossen, hat da jemand erfahrung mit? Bzw weiss ob es damit geht? Und wie dann die hochgeladnen Dateien unter php zur Verfügung stehen, nachdem sie von mod_upload ausgepackt wurden?

Kunden ansprechen, klar, das hat das eine Problem beseitigt. Aber das will ich ein für allemal "ausschalten".

[elch_mg]

wenn du das ausführen von PHP-Files verhindern willst, da gibt es sinnvollere Lösungen. Beispiel (Fast)CGI.

[ohgott]

Könntest du das näher ausführen, bitte?
Bin ja für jeden Hinweis dankbar.

[sledge0303]

Könntest du das näher ausführen, bitte?
Bin ja für jeden Hinweis dankbar.

Du musst dir nur die Einleitung des Howtos php4/php5 FastCGI im Debianhowto durchlesen. Darin steht alles beschrieben was es damit auf sich hat. Simples Beispiel: suexec!!!

[ohgott]

Ahso danke,
eine Frage noch, ist das auf Suse auch so anzuwenden, oder funktioniert es dort nicht. Oder anders?

[elch_mg]

Es heisst "Debian"-Howto, oder?

[ohgott]

Deshalb frage ich ja mal lieber erst...

[elch_mg]

Naja, es gibt zwar (gottseidank) inzwischen einige Distributionsübergreifende Merkmale.. Aber so weit, dass sich Howtos einfach auf mehreren (nicht verwandten!) Distris umsetzten lassen, sind wir noch nicht. Wird wohl auch immer so bleiben.