Re: [apache-talk] SSI & security

[Eugene Grosbein <eugen@xxxxxxxxxxxxxxxxxxx>]

void@xxxxxxx wrote:
> 
> Приветствую, многоуважаемый All !
> 
> >> > > --------------------------------------------
> >> > > ...... Поймите, на боевом сайте и SSI не будет - все это
> >> > > проламывается просто на счет раз.
> >> > > --------------------------------------------
> 
> похоже, данные слова сказаны не слишком осведомлённым человеком. Любой
> интерактив пользователя с системой влечёт за собой возрастание рисков,
> любая автоматизация представляет собой процесс,когда разработчик
> доверяет системе процесс выполнения какой-то работе, и с некоторой
> вероятностью считает, что пользователь не сможет развернуть ход
> штатной работы на рельсы, не предусмотренные разработчиком ? системе,
> естественно, всё равно - что <!--#include file=" - ./content.html или
> /some/file/out/docroot.. после этого игра с Apache Server Side
> Includes, которые ходят из-под nobody или из-под user'a через suexec
> оканчивается и переходит
> в стадию игры с системой - пока, правда, на уровне сбора информации а
> не на уровне отдачи директив, если не забыли поставить IncludesNoEXEC
> на папку с ssi.. если кривы руки у админа, то "товарищ ксакеп"
> наберётся информации о том, что ещё стоит на этой системе, какие
> сервисы бегают от рута, какие у них конфигурации и тут уже остаётся
> только богу молится чтобы они свежими оказались и ксакеп пока с
> багтрака эксплоитов не накачал.. а если по уму сделано, и админ
> подстраховался от тупого веб-писателя, то ксакеп будет ползать по
> jail(8) не понимая что с ним происходит и куда он вообще попал..

По-моему, это дезинформация. При помощи IncludesNoExec эскплорать
диски не получится.

An attribute defines the location of the document; the inclusion is done for
each attribute given to the include command.
     The valid attributes are: 
     file 
          The value is a path relative to the directory containing the current
document being parsed. It cannot contain ../,
          nor can it be an absolute path. The virtual attribute should always
be used in preference to this one. 
     virtual 
          The value is a (%-encoded) URL relative to the current document
being parsed. The URL cannot contain a
          scheme or hostname, only a path and an optional query string. If it
does not begin with a slash (/) then it is taken to
          be relative to the current document.
=============================================================================
=               Apache-Talk@xxxxxxxxxxxxx mailing list                      =
Mail "unsubscribe apache-talk" to majordomo@xxxxxxxxxxxxx if you want to quit.
=       Archive avaliable at http://www.lexa.ru/apache-talk                 =