Russian Apache Switch to English
Switch to Russian koi8-r
windows=1251
cp-866
iso8859-5
Russian Apache Как это работает Рекоммендации Где взять Как установить Как настроить Статус и поддержка
Краткий обзор FAQ Список рассылки Благодарности Поиск по серверу Powered by Russian Apache
Russian Apache mailing list archive (apache-rus@lists.lexa.ru)

[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]

Re: [apache-talk] Apache@setuid CGI ?



According to Stanislav Malyshev a.k.a Frodo
> AVG>> > 
> AVG>> > А suexec не пробовали, кстати? SUID-ный бинарник, работающий с базами
> AVG>> > данных... Да еще в общедоступном каталоге... Не стремно?
> AVG>> Как раз не в общедоступном. В том и проблема, что не получается его
> 
> Секундочку. Если он недоступен nobody (по крайней мере как --x), то как
> Апач его запустит? А если доступен - значит общедоступен, по крайней мере
> - доступен всем, кто имеет право запускать что-либо на Вашем сервере, а
> при разумной доле паранойи - можно сказать, что всем, кто может на него
> зайти.
Эт-то понятно, можно не объяснять. Бинарник доступен как --x для nobody.
Хочется сделать каталог, с файлами в котором оперирует этот бинарник,
недоступным для nobody и прочих other (---).
Интересен сам процесс в цепочке (страница, выданная апачем)--(вызов cgi)--
<<(формирование им динамической страницы)--(прием параметров)--(открытие баз и
чтение/запись в них)>>--(конец работы) 
Причем мыслилось, что все, что между <<  >> делается cgi в рамках одного
процесса, setuid-ного. Но где-то затесались права апача.
Сейчас уже хочется просто понять, возможно ли вообще такое. Если нет, то
других способов масса, в том числе и те, что Вы рекомендуете
> 
> AVG>> полностью закрыть, без права поиска для other ничего не работает.
> AVG>> А бинарник кому попало запустить себя не дает.
> 
> В suexec на это штук 10 проверок. Вы уверены, что Вы все учли? Способов
Скорее всего, не все. Да оно и не надо. Сервер не публичный, куча всяких
заборов вокруг нагорожена. Плюс дикое количество аргументов, передаваемых
зтому бинарнику. Речь-то о другом
> запустит скрипт через Апач с произвольными данными великое множество.
> handler, SSI и еще куча. Просто suexec уже кучу времени вылизывают, почему
> бы не пользоваться?
разбираться надо. А это уже есть.
> -- 
> frodo@xxxxxxxxxxxx	\/  There shall be counsels taken
> Stanislav Malyshev	/\  Stronger than Morgul-spells
> phone +972-2-6245112	/\  		JRRT LotR.
> http://sharat.co.il/frodo/	whois:!SM8333
> 
> 
> =============================================================================
> =               Apache-Talk@xxxxxxxxxxxxx mailing list                      =
> Mail "unsubscribe apache-talk" to majordomo@xxxxxxxxxxxxx if you want to quit.
> =       Archive avaliable at http://www.lexa.ru/apache-talk                 =
> 
> 


-- 
Alexandr V. Goncharov,  | Digital Networks, Tomsktelecom 
AGV-RIPE,		 | agv@xxxxxxxxxxx 
AGV3-RIPN		 | phone: +7(382-2)562510 
 
     
=============================================================================
=               Apache-Talk@xxxxxxxxxxxxx mailing list                      =
Mail "unsubscribe apache-talk" to majordomo@xxxxxxxxxxxxx if you want to quit.
=       Archive avaliable at http://www.lexa.ru/apache-talk                 =






Спонсоры сайта:

[ Russian Apache ] [ Как это работает ] [ Рекомендации ] [ Где взять ] [ Как установить ] [ Как настроить ] [ Статус и поддержка ] [ Краткий обзор ] [ FAQ ] [ Список рассылки ] [ Благодарности ] [ Поиск по серверу ] [ Powered by Russian Apache ] [ Apache-talk archive ]

"Russian Apache" includes software developed by the Apache Group for use in the Apache HTTP server project (http://www.apache.org/) See Apache LICENSE.
Copyright (C) 1995-2001 The Apache Group. All rights reserved.
Copyright (C) 1996 Dm. Kryukov; Copyright (C) 1997-2009 Alex Tutubalin. Design (C) 1998 Max Smolev.