Re: [apache-talk] CGI for users - II

["Khimenko Victor" <khim@xxxxxxxxxxxx>]

In <200001211023.NAA20798@xxxxxxxxxxxxxxxxxx> Konst Bulatnikov (inode@xxxxxxxx) wrote:
KB> On 20 Jan 00, at 22:42, Khimenko Victor wrote:

>> KB> тут я вот все думаю над своей бедой. Неужто единственный
>> KB> способ запускать скрипт с chroot() только через хаченье
>> KB> suexec? не хочется его хакать, да и вообще suexec не хочется
>> KB> :)
>>
>> А чего хочется ? Ты б задачу поставил сначала, а потом ее уже решать начинал.

KB> Приехали. Ставил я ее тут утром. Повторюсь: стоит задача дать
KB> клиентам cgi, но при этом максимально побрезать им руки. То
KB> есть например - обрезать возможность прочитать /etc/termcap.
KB> Или ls /tmp. Или что-нибудь еще.

Именно. Задача НЕ поставлена. Ты реши либо что ты им хочешь запретить, либо
что ты им хочешь разрешить, а уже потом решай. Конечно если исходников Apache
нету (идиотская ситуация), то кой-какие вещи может быть и не удастся сделать,
но в принципе можно подрезать пользователей практически до той степени, до
какой ты хочешь. Пока ты не решишь - до какой степени ты хочешь им надоедать,
ничего путного предложить нельзя (можно вообще всех упихать в chroot, ulimit'ами
обвешать и заставить только статические бинарники использовать и, на всякий
пожарный, подпилить ядро, чтобы у них остался один систеимный вызов:
write -- чтобы с стандартный выход писать; ясно что смысла в таком CGI-hosting'е
не будет никакого :-)




=============================================================================
=               Apache-Talk@xxxxxxxxxxxxx mailing list                      =
Mail "unsubscribe apache-talk" to majordomo@xxxxxxxxxxxxx if you want to quit.
=       Archive avaliable at http://www.lexa.ru/apache-talk                 =