On Fri, Jan 05, 2001 at 06:01:31PM +0100, Dominic Neumann wrote:
Hallo leute,
Somit koennen sich user, die zwar vom ftp-server her nur ne chroot-umgebung haben und sich auch nicht per telnet einloggen koennen, jedoch cgi-access haben, alle moeglichen dateien vom server ziehen, sogar passwordfiles und andere geheime sachen.
Was kann ich dagegen machen?
1. Entertaste mal zur Reparatur schicken ... 2. Keine Scripte ausführen lassen.
3. Calm down (?)
Scripte werden mit der UID des Webservers ausgeführt, der ist nichtprivelegiert. Sollte also einem ordentlich gepflegten System nicht soo viel anhaben (außer DOS u.ä. Dingen.)
Damit die Scripte vieler virtueller Server nicht durcheinander geraten, kann man SuEXEC benutzen und für jeden virtuellen Server einen eigenen Nutzer erzeugen und dann mit den Permissionen spielen -- geht, ist aber nicht ganz unaufwendig ...
Löst aber auch nicht das Grundproblem.
SuEXEC hacken und dann chroot laufen lassen ..
Best regards from Dresden/Germany Viele Gruesse aus Dresden Heiko Schlittermann