Apache Sicherheit: Symbolische Links und mod_rewrite

Alles, was den Apache betrifft, kann hier besprochen werden.

Apache Sicherheit: Symbolische Links und mod_rewrite

Postby svs » 13. December 2012 13:12

Hallo zusammen,

derzeit grübel ich über ein Problem nach, für das ich nach mehreren Tagen Suche noch keine Lösung per Google finden konnte.

Wenn ich mod_rewrite verwenden möchte/muss, dann muss ich bekanntermaßen auf "FollowSymLinks" oder "SymLinksIfOwnerMatch" einschalten. Anderenfalls ist die Verwendung von mod_rewrite nicht möglich. Das habe ich inzwischen auf alle möglichen Weisen nachgestellt, egal ob das Rewriting in der vHost Config oder per htaccess vorgenommen wird. Dazu habe ich zwei Fragen und hoffe hier endlich Antworten zu finden.

1. Wo ist der Zusammenhang zwichen symbolischen Links und mod_rewrite. Warum ist die Verwendung von symbolischen Links zwingen für die Verwendung von mod_rewrite erforderlich? Ich sehe keinen Zusammenhang.

2. Wenn ich schon nicht verhindern kann, dass symbolische Links erlaubt sind, wie kann ich dann wenigstens verhindern, dass nichts außerhalb von bspw. /var/www aufgerufen wird. Aktuell habe ich verifiziert, dass wenn sich in /var/www ein symbolischer Link namens "passwd", mit Verweis auf "/etc/passwd", befindet, kann ich ihn über die Webseite verlinken und die /etc/passwd wird als Textdatei im Browser ausgegeben. Ich habe bereits versucht mit der Directory-Direktive den Zugriff auf / zu verbieten, aber entweder verstehe ich die Nutzung dieser Direktive nicht korrekt oder es funktioniert einfach nicht.

Ich gebe hier mal meine Test-vHost-Config zum Besten, mit der ich aktuell rumspiele.

Code: Select all
<VirtualHost *:80>
   ServerAdmin webmaster@localhost

   DocumentRoot /var/www
   <Directory />
      Options None
      AllowOverride None
      Order deny,allow
      Deny from all
   </Directory>
   <Directory /var/www/>
      Options None
      AllowOverride None
      Order allow,deny
      allow from all
   </Directory>

   ErrorLog ${APACHE_LOG_DIR}/error.log
   LogLevel warn
   CustomLog ${APACHE_LOG_DIR}/access.log combined

</VirtualHost>


Mit dieser Konfiguration ist es möglich im HTML-Dokument per a-Tag auf die passwd zu verlinken.

Ich bin gespannt auf eure Antworten. Besten Dank im Voraus.


Gruß
svs
svs
 
Posts: 10
Joined: 13. December 2012 12:55
Operating System: Debian/Ubuntu, Apache 2.2

Re: Apache Sicherheit: Symbolische Links und mod_rewrite

Postby Nobbie » 13. December 2012 23:11

svs wrote:Wenn ich mod_rewrite verwenden möchte/muss, dann muss ich bekanntermaßen auf "FollowSymLinks" oder "SymLinksIfOwnerMatch" einschalten. Anderenfalls ist die Verwendung von mod_rewrite nicht möglich.


MIt absoluter Sicherheit ist das nicht so. Das eine hat mit dem anderen genau gar nichts zu tun und wenn man in einem Webserver Umfeld keine symbolichen Links benutzt, dann funktioniert dennoch selbstverständlich mod_rewrite.

svs wrote:1. Wo ist der Zusammenhang zwichen symbolischen Links und mod_rewrite. Warum ist die Verwendung von symbolischen Links zwingen für die Verwendung von mod_rewrite erforderlich? Ich sehe keinen Zusammenhang.


s.o. - es gibt keinen Zusammenhang.

Ich vermute, dass Du symbolische Links auf Deinem Server im Einsatz hast und dass da irgendwelche Probleme mit mod_rewrite auftreten. Aber sonst hat das eine mit dem anderen genau überhaupt nichts zu tun.

Insgesamt verstehe ich sowieso Dein Problem und Dein Beispiel auch nicht - symbolische Links entstehen nicht "einfach so", sondern weil Du sie als Betreiber des Servers angelegt hast. Sowieso bedeuten dieses Konfigurationen NICHT, dass das Anlegen verboten oder erlaubt ist, sondern es wird damit lediglich gesteuert, ob Apache einen symbolischen Link verfolgt, falls ein Dokument dort liegt und die URL dorthin verweist. Mit "erlauben" von symbolischen Links hat das nichts zu tun.
Nobbie
 
Posts: 13171
Joined: 09. March 2008 13:04

Re: Apache Sicherheit: Symbolische Links und mod_rewrite

Postby svs » 13. December 2012 23:44

Hallo Nobbie,

danke für deine spannende Antwort.

1. http://httpd.apache.org/docs/2.2/mod/mod_rewrite.html
Zitat: To enable the rewrite engine in this context, you need to set "RewriteEngine On" and "Options FollowSymLinks" must be enabled. If your administrator has disabled override of FollowSymLinks for a user's directory, then you cannot use the rewrite engine. This restriction is required for security reasons. (Per-directory Rewrites)

http://www.maxi-pedia.com/FollowSymLinks
Zitat: FollowSymLinks must be enabled when using mod_rewrite. If FollowSymLinks is disabled together with mod_rewrite, you will encounter the 500 internal server error.

Meine eigenen Tests haben das bestätigt. Sobald ich FollowSymLinks deaktiviere, funktioniert mod_rewrite nicht mehr, genauer gesagt die RewriteRules in der .htaccess.

2. Wie erwähnt, habe ich einen Testserver aufgesetzt - dort gibt es nur Sachen, die ich installiert habe und haben will. Es ist aber ein Testsystem, um dieser Geschichte auf den Grund zu gehen. Ich betreibe keinen Webserver und keine Web Applikation im Zusammenhang mit symbolischen Links - würde ich persönlich auch nicht tun. Allerdings kann ich nicht ausschließen, dass jemand symbolische Links in seine Webfolder kopiert, wenn ich den Webserver betreibe und "Fremden" Zugriff darauf gewähren muss. Einfluss habe ich auf den Content nicht und löschen darf ich ihn ebenfalls nicht, wenn mir auffällt, dass hier etwas schief läuft. Hier sehe ich schlichtweg ein Sicherheitsproblem.

Wie du vielleicht einsehen kannst, hat dies also sehr wohl etwas mit "Erlauben" von symbolischen Links bzw. dem Verweis auf Dateien außerhalb der Webfolder zu tun.


Gruß
svs
svs
 
Posts: 10
Joined: 13. December 2012 12:55
Operating System: Debian/Ubuntu, Apache 2.2

Re: Apache Sicherheit: Symbolische Links und mod_rewrite

Postby Nobbie » 14. December 2012 10:59

svs wrote:danke für deine spannende Antwort.

1. http://httpd.apache.org/docs/2.2/mod/mod_rewrite.html
Zitat: To enable the rewrite engine in this context, you need to set "RewriteEngine On" and "Options FollowSymLinks" must be enabled. If your administrator has disabled override of FollowSymLinks for a user's directory, then you cannot use the rewrite engine. This restriction is required for security reasons. (Per-directory Rewrites)

http://www.maxi-pedia.com/FollowSymLinks
Zitat: FollowSymLinks must be enabled when using mod_rewrite. If FollowSymLinks is disabled together with mod_rewrite, you will encounter the 500 internal server error.

Meine eigenen Tests haben das bestätigt. Sobald ich FollowSymLinks deaktiviere, funktioniert mod_rewrite nicht mehr, genauer gesagt die RewriteRules in der .htaccess.


Das habe ich in der Tat nicht gewusst, aber es bedeutet lediglich, dass bei Nutzung von mod_rewrite in .htaccess oder innerhalb einer <Directory...> Klausel in httpd.conf aus Sicherheitsgründen verboten ist (es hat keine technische Notwendigkeit), wenn nicht auch FollowSymLinks gesetzt ist. Leider ist da kein Beispiel dabei, aber die dahinter stehende Idee ist offensichtlich diejenige, dass man durch mod_rewrite die URL so verbiegen kann, dass man wahrscheinlich doch einen Zugriff auf einen Symbolic Link bekommt, was Apache aber zu dem Zeitpunkt nicht mehr prüfen kann. Deswegen wird es aus Sicherheisgründen in diesem Kontext nicht erlaubt. Ob das immer schon so war, oder ob das durch eine Sicherheitslücke bedingt ist, kann ich auch nicht sagen.

Es ist aber wichtig zu verstehen, dass das keine technische Voraussetzung ist, sondern eine Sicherheitsvorkehrung.

svs wrote:Allerdings kann ich nicht ausschließen, dass jemand symbolische Links in seine Webfolder kopiert, wenn ich den Webserver betreibe und "Fremden" Zugriff darauf gewähren muss.


Dafür gibt es ja nun wirklich massenhaft Hilfsmittel, dass ein Anwender nicht aus seiner "Welt" herauskommt; es fängt damit an, dass man PHP im CGI Modus laufen läßt mit einer UseriD, die so gut wie nix darf. Und/oder mit chroot eine eigene Umgebung für Apache schaffen. Oder gleich via Virtuoso einen virtuellen Server aufsetzen. Oder oder oder - das ist nun einmal bekannt, dass gesharte Server schwierig zu administrieren sind, da muss man wissen, was man tut.

svs wrote:Hier sehe ich schlichtweg ein Sicherheitsproblem.


Die Entwickler von Apache offensichtlich auch, deswegen haben sie Dir (als Admin) die Möglichkeit gegeben, mit diversen Optionen alle möglichen Dinge zu verbieten. Und wenn es darauf hinausläuft, dass in .htaccess mod_rewrite nicht funktioniert. Das hängt aber (s.o.) im wesentlichen davon ab, was für eine Realisierung Du gewählt hast, um überhaupt Dritten einen Zugriff zu gewähen.
Nobbie
 
Posts: 13171
Joined: 09. March 2008 13:04

Re: Apache Sicherheit: Symbolische Links und mod_rewrite

Postby svs » 14. December 2012 14:09

Nobbie wrote:Das habe ich in der Tat nicht gewusst, aber es bedeutet lediglich, dass bei Nutzung von mod_rewrite in .htaccess oder innerhalb einer <Directory...> Klausel in httpd.conf aus Sicherheitsgründen verboten ist (es hat keine technische Notwendigkeit), wenn nicht auch FollowSymLinks gesetzt ist. Leider ist da kein Beispiel dabei, aber die dahinter stehende Idee ist offensichtlich diejenige, dass man durch mod_rewrite die URL so verbiegen kann, dass man wahrscheinlich doch einen Zugriff auf einen Symbolic Link bekommt, was Apache aber zu dem Zeitpunkt nicht mehr prüfen kann. Deswegen wird es aus Sicherheisgründen in diesem Kontext nicht erlaubt. Ob das immer schon so war, oder ob das durch eine Sicherheitslücke bedingt ist, kann ich auch nicht sagen.

Es ist aber wichtig zu verstehen, dass das keine technische Voraussetzung ist, sondern eine Sicherheitsvorkehrung.

Kann ich so nicht bestätigen. Das Rewriting hat in meiner vhost Konfiguration auch nicht funktioniert, wenn ich FollowSymLinks deaktiviert habe. Möglicherweise habe ich hier aber auch noch einen Fehler, denn das habe ich tatsächlich nur "auf die Schnelle" getestet.

In diesem Fall wäre das schon die Lösung für mich. Ich bin in der Lage den Web Admins den Einsatz von mod_rewrite in der .htaccess zu verbieten - nicht nur technisch.

Nobbie wrote:Dafür gibt es ja nun wirklich massenhaft Hilfsmittel, dass ein Anwender nicht aus seiner "Welt" herauskommt; es fängt damit an, dass man PHP im CGI Modus laufen läßt mit einer UseriD, die so gut wie nix darf. Und/oder mit chroot eine eigene Umgebung für Apache schaffen. Oder gleich via Virtuoso einen virtuellen Server aufsetzen. Oder oder oder - das ist nun einmal bekannt, dass gesharte Server schwierig zu administrieren sind, da muss man wissen, was man tut.

Naja, da bin ich anderer Meinung. Es hängt immer davon ab, was man möchte. In der Linux- (und häufig auch Windows-) Welt sind die meisten Dateien zumindest lesbar, so wie auch die passwd. Ich mache mir bei dieser gesamten Geschichte keine Sorgen, dass jemand die Dateien verändert. Meine Sorge ist die versehentliche oder absichtliche Veröffentlichung von unnötigen Informationen (Information Disclosure).

PHP ist auch nicht mein Problem. Den Zugriff kann ich genauso gut über open_basedir einschränken und dann ist Schluss. Problem ist in der Tat der Apache. Mit chroot habe ich zu wenig Erfahrung, als dass ich dies derzeit in Betracht ziehen würde. Virtuozzo ist auch keine Alternative.

Natürlich muss man wissen was man tut und wenn ich etwas nicht weiss und keine Lösung finden kann (Google, etc.pp.), dann frage ich halt die Experten. Ich erwarte nicht, dass ich dann die gewünschte Antwort bekomme, aber keine Lösung ist auch ein Ergebnis.

Nobbie wrote:Die Entwickler von Apache offensichtlich auch, deswegen haben sie Dir (als Admin) die Möglichkeit gegeben, mit diversen Optionen alle möglichen Dinge zu verbieten. Und wenn es darauf hinausläuft, dass in .htaccess mod_rewrite nicht funktioniert. Das hängt aber (s.o.) im wesentlichen davon ab, was für eine Realisierung Du gewählt hast, um überhaupt Dritten einen Zugriff zu gewähen.

Warum schafft man dann keine Lösung wie z.B. open_basedir unter PHP? Mir ist klar, dass du mir diese gezielte Frage nicht beantworten kannst und ich sie den Entwicklern stellen müsste. Ich stelle sie aber trotzdem, weil jemand vielleicht dadurch besser versteht was ich benötige und es eine vergleichbare Lösung in Apache gibt.

Ich danke dir trotzdem für deine Antworten und hoffe noch auf weitere. ;-)


Gruß
svs
svs
 
Posts: 10
Joined: 13. December 2012 12:55
Operating System: Debian/Ubuntu, Apache 2.2

Re: Apache Sicherheit: Symbolische Links und mod_rewrite

Postby Nobbie » 14. December 2012 14:39

svs wrote:Naja, da bin ich anderer Meinung. Es hängt immer davon ab, was man möchte. In der Linux- (und häufig auch Windows-) Welt sind die meisten Dateien zumindest lesbar, so wie auch die passwd. Ich mache mir bei dieser gesamten Geschichte keine Sorgen, dass jemand die Dateien verändert. Meine Sorge ist die versehentliche oder absichtliche Veröffentlichung von unnötigen Informationen (Information Disclosure).


Verstehe ich von vorne bis hinten nicht. Es ist zwar richtig, dass eine /etc/passwd im Default mit 644 (root:root) ausgeliefert wird, aber wenn Du es nicht willst, dann ändere es doch?! Du bist der Admin. Unabhängig steht da wirklich nichts weltbewegendes drin und ein puristisch aufgebauter Server wird nicht einmal eine nennenswerte (unbekannte) UserID drin stehen haben. Was soll es also?


svs wrote:PHP ist auch nicht mein Problem. Den Zugriff kann ich genauso gut über open_basedir einschränken und dann ist Schluss. Problem ist in der Tat der Apache.


Und wie soll man mit Apache einen symbolischen Link anlegen?

Zudem ist gerade die Konfiguration des DocumentRoot zusammen mit Allow und Deny das (halbwegs) passende Pendant zum open_basedir. Aus dieser Welt kommt Apache aus eigenen Mitteln nicht heraus.
Nobbie
 
Posts: 13171
Joined: 09. March 2008 13:04

Re: Apache Sicherheit: Symbolische Links und mod_rewrite

Postby svs » 14. December 2012 15:13

1. Darf man der /etc/passwd einfach die Leserechte für "others" wegnehmen? Ich weiss nicht, ob das eine gute Idee ist...

2. In der /etc/passwd stehen sicherlich mehr als nur die Standard-Benutzer drin. Einem Angreifer erleichtere ich also das Leben, wenn er zumindest schon mal Benutzernamen kennt.

3. Wer redet davon das Apache die symbolischen Links anlegt? Der symbolische Link kann aber ohne Dereferenzierung auf den Server kopiert werden.

4. DocumentRoot hat rein gar nichts mit dem Einsperren in ein Verzeichnis oder gar Sicherheit zu tun! Wenn der Apache aus eigenen Mitteln tatsächlich nicht da raus käme, erkläre mir bitte, warum es möglich ist mit einem symbolischen Link innerhalb von /var/www beliebige Dateien im Dateisystem zu verlinken und aufzurufen.

Ich glaube, dass die philosophische Frage, ob FollowSymLinks oder nicht hier nicht weiter diskutiert werden muss. Mein Ziel ist es symbolische Links nur innerhalb des DocumentRoot verwenden zu können und nicht darüber hinaus. Wenn dies technisch nicht möglich ist, dann ist das halt so, aber die Diskussion läuft hier aus meiner Sicht ein wenig aus dem Ruder.
svs
 
Posts: 10
Joined: 13. December 2012 12:55
Operating System: Debian/Ubuntu, Apache 2.2

Re: Apache Sicherheit: Symbolische Links und mod_rewrite

Postby Nobbie » 14. December 2012 15:31

svs wrote:1. Darf man der /etc/passwd einfach die Leserechte für "others" wegnehmen? Ich weiss nicht, ob das eine gute Idee ist...


Natürlich, der Login Prozess wird sowieso mit Root Rechten durchgeführt.

svs wrote:2. In der /etc/passwd stehen sicherlich mehr als nur die Standard-Benutzer drin.


Auf einem sauber konfigurierten Webserver nicht.

svs wrote:3. Wer redet davon das Apache die symbolischen Links anlegt? Der symbolische Link kann aber ohne Dereferenzierung auf den Server kopiert werden.


Erkläre mir wie das gehen soll?

svs wrote:4. DocumentRoot hat rein gar nichts mit dem Einsperren in ein Verzeichnis oder gar Sicherheit zu tun! Wenn der Apache aus eigenen Mitteln tatsächlich nicht da raus käme, erkläre mir bitte, warum es möglich ist mit einem symbolischen Link innerhalb von /var/www beliebige Dateien im Dateisystem zu verlinken und aufzurufen.


Weil Du mit FollowSymLInks Apache dazu ermächtigst, das zu tun. Nimm es weg und Apache kann es nicht mehr. Das ist immer so, wenn man jemanden eine Waffe gibt, kann er sie benutzen. Wenn nicht, dann nicht.

Die Fragen sind aber alle höchst hypothetischer Natur, so lange Du mir nicht erklären kannst, wie Du einen symbolischen Link anlegen willst. Ohne Shell (versteht sich wohl von selbst).
Nobbie
 
Posts: 13171
Joined: 09. March 2008 13:04

Re: Apache Sicherheit: Symbolische Links und mod_rewrite

Postby svs » 14. December 2012 16:24

Nobbie wrote:
svs wrote:2. In der /etc/passwd stehen sicherlich mehr als nur die Standard-Benutzer drin.

Auf einem sauber konfigurierten Webserver nicht.


Also bitte. In der Regel gibt es mind. einen unprivilegierten Benutzer, der zur täglichen Arbeit benutzt wird. Dann kommen weitere Benutzer pro Dienst hinzu - ja, üblicherweise ohne Login-Berechtigung, hilft aber herauszufinden welche Dienste auf einem System laufen, etc.pp.

Ich schlage vor dieses Thema nicht totzudiskutieren. Wir haben einfach unterschiedliche Meinungen und Denkansätze und nochmal: Philosophische Fragen wollte ich hier nicht klären.

Nobbie wrote:
svs wrote:3. Wer redet davon das Apache die symbolischen Links anlegt? Der symbolische Link kann aber ohne Dereferenzierung auf den Server kopiert werden.

Erkläre mir wie das gehen soll?

In dem der symbolische Link lokal erstellt wurde und dann auf den Server kopiert wird. Zugegebenermaßen derefenzieren SCP und SFTP symbolische Links grundsätzlich. Aber hier gibt es trotzdessen verschiedene Ansätze. Der Link kann als TAR kopiert werden und dann über ein (PHP-)Skript entpackt o.ä. Das große Problem sehe darin nicht.

Nobbie wrote:Weil Du mit FollowSymLInks Apache dazu ermächtigst, das zu tun. Nimm es weg und Apache kann es nicht mehr. Das ist immer so, wenn man jemanden eine Waffe gibt, kann er sie benutzen. Wenn nicht, dann nicht.

Die Fragen sind aber alle höchst hypothetischer Natur, so lange Du mir nicht erklären kannst, wie Du einen symbolischen Link anlegen willst. Ohne Shell (versteht sich wohl von selbst).

[/quote]
Um mal eins klarzustellen: Ich will kein FollowSymLinks nutzen. Das war nie mein Ziel und ich habe zuvor nicht gewusst, dass mod_rewrite innerhalb der vHost Konfiguration ohne FollowSymLinks nutzbar ist - bleibt auch noch(mal) zu testen.

So hypothetisch finde ich das nicht. Mag daran liegen, dass ich aus beruflichen Gründen wohl ein bisschen paranoid bin was Sicherheit angeht.
svs
 
Posts: 10
Joined: 13. December 2012 12:55
Operating System: Debian/Ubuntu, Apache 2.2

Re: Apache Sicherheit: Symbolische Links und mod_rewrite

Postby Nobbie » 14. December 2012 21:51

svs wrote:In dem der symbolische Link lokal erstellt wurde und dann auf den Server kopiert wird. Zugegebenermaßen derefenzieren SCP und SFTP symbolische Links grundsätzlich. Aber hier gibt es trotzdessen verschiedene Ansätze. Der Link kann als TAR kopiert werden und dann über ein (PHP-)Skript entpackt o.ä. Das große Problem sehe darin nicht


Du hattest doch selbst vorgegeben "Php wäre nicht das Problem". Also kannst Du auch nicht via TAR ein ein entsprechendes Archiv auspacken (dann wäre PHP nämlich sehr wohl ein Problem).

"Verschiedene Ansätze" interessieren mich nicht: ich will eine Lösung.

Nur nebenbei: ich bin seit 1986 aktiver UNIX Entwickler. Deswegen beharre ich hier auf einer konkreten Lösung, von der ich nicht glaube, dass sie existiert. Wenn Du kein wasserfestes Konzept präsentierst, wie man einen Symbolic Link Remote erzeugt, ist die ganze Theorie sinnlos. Also - entweder hast Du ein ganz konkretes Konzept oder keines. Aber "verschiedene Ansätze" ist zu dünn.
Nobbie
 
Posts: 13171
Joined: 09. March 2008 13:04

Re: Apache Sicherheit: Symbolische Links und mod_rewrite

Postby svs » 16. December 2012 02:13

Nobbie wrote:Du hattest doch selbst vorgegeben "Php wäre nicht das Problem". Also kannst Du auch nicht via TAR ein ein entsprechendes Archiv auspacken (dann wäre PHP nämlich sehr wohl ein Problem).

"Verschiedene Ansätze" interessieren mich nicht: ich will eine Lösung.

Nur nebenbei: ich bin seit 1986 aktiver UNIX Entwickler. Deswegen beharre ich hier auf einer konkreten Lösung, von der ich nicht glaube, dass sie existiert. Wenn Du kein wasserfestes Konzept präsentierst, wie man einen Symbolic Link Remote erzeugt, ist die ganze Theorie sinnlos. Also - entweder hast Du ein ganz konkretes Konzept oder keines. Aber "verschiedene Ansätze" ist zu dünn.


Ok, ich gebe dir Recht, was meine Aussage bzgl. PHP angeht. Diese Aussage war zu pauschal und zu vorschnell. PHP ist natürlich sehr wohl ein Problem. Zwar kann ich verhindern, dass ein Symlink außerhalb von open_basedir aufgerufen wird, aber ich kann nicht verhindern, dass der Symlink per Apache aufgerufen wird.

Ich habe mich mal hingesetzt und ein bisschen gebastelt. Man kann zwar mit PHP keine Symlinks außerhalb von open_basedir erzeugen, aber die Geschichte mit Symlink im Archiv hochladen funktioniert ohne Probleme. Dazu muss per PHP lediglich
Code: Select all
exec("unzip -d [tmpdir] passwd.zip");

ausgeführt werden. Dafür ist nichts weiter erforderlich, als ein beschreibbares Verzeichnis, in dem man den erzeugten Link abspeichern kann. Mind. ein beschreibbares Verzeichnis wird es für File Uploads geben.
Allerdings könnte man in PHP wiederum die ganze Funktion exec() deaktivieren, was aber sicherlich in den wenigsten Fällen der Fall sein wird.

Ich glaube, dass die einzige zuverlässige Methode ist FollowSymlinks zu verbieten und das Rewriting nicht per .htaccess durchzuführen, sondern in der vHost Konfiguration.

Wie dem auch sei, weitere Diskussionen diesbezüglich dürften sinnfrei sein.

Besten Dank für die Anregungen und die Diskussion.


Gruß
svs
svs
 
Posts: 10
Joined: 13. December 2012 12:55
Operating System: Debian/Ubuntu, Apache 2.2

Re: Apache Sicherheit: Symbolische Links und mod_rewrite

Postby Nobbie » 16. December 2012 03:15

svs wrote:Allerdings könnte man in PHP wiederum die ganze Funktion exec() deaktivieren, was aber sicherlich in den wenigsten Fällen der Fall sein wird.


Da Gegenteil ist richtig, selbstverständlich sind sämtliche System Funktionen in einem von Dir skizzierten Umfeld zu deaktivieren (deshalb sagt ich ja, man muss schon wissen, was man tut, wenn man Shared Hosting anbieten will); denn das ganze Gezappel ist natürlich hirnrissig, weil man um Welten einfacher nur

Code: Select all
exec("cat /etc/passwd");


programmieren muss, um den Inhalt der /etc/passwd auszugeben.

svs wrote:Wie dem auch sei, weitere Diskussionen diesbezüglich dürften sinnfrei sein.


Jain, immerhin ist sie dazu geeignet, Dir die Schwachstellen Deines (sehr unausgegorenen) Konzepts zur Realisierung eines Shared Webservers aufzuzeigen. Deswegen sagte ich ja ganz zu Anfang: wer einen Shared Host anbieten will, muss wissen, was er tut.
Nobbie
 
Posts: 13171
Joined: 09. March 2008 13:04


Return to Apache

Who is online

Users browsing this forum: No registered users and 18 guests

cron