Re: [apache-talk] suEXEC

[Khimenko Victor <khim@xxxxxxxxxxxx>]

On Wed, 12 Sep 2001, Eugene Grosbein wrote:

> Ilya Basalaev wrote:
>
> > > А как это будет выглядеть: чтобы юзеру принадлежал файл, а он его не
> > > мог править? Если только cgi-bin директорию спрятать от юзера, т.е.
> > > положить, например, в тот же /usr/local/apache/user/cgi-bin, тогда и 1
> > > первый пункт не нужно выполнять :-)
> > >
> >
> > Только если у юзера не будет доступа на exec на эту директорию. Иначе он
> > туда зайдет, как владелец файла сделает chmod u+w, и будет править файл и
> > ломать сервер :-)
>
> Я так понял, suEXEC защищать никто не берется,
> то есть правда на нашей стороне :)
>
Нет, разумеется. Отрывание этих проверок чревато появлением локальных
exploit'ов, но в данном случае это вроде как не страшно: человеку ничего
исполнять не дают, в том числе и suexec. Сходу ясно, что оторвав проверку
2 ты даешь возможность человеку, создающему "глобальные" cgi-скрипты (те,
которые пускаются без suexec'а) права root'а (более или менее) - не знаю,
насколько это для тебя страшно. Отсутсвие первой проверки эксплуатировать
сложнее...

> Еще вспомнил про user immutable flag и user undeletable flags в FreeBSD.
> Система у меня крутится с securelevel 2, и, кажется, по FTP эти флаги
> снять нельзя. Вопрос закрыт.

=============================================================================
=               Apache-Talk@xxxxxxxxxxxxx mailing list                      =
Mail "unsubscribe apache-talk" to majordomo@xxxxxxxxxxxxx if you want to quit.
=       Archive avaliable at http://www.lexa.ru/apache-talk                 =