[mdk-re] LRN & database.inc

[mdk-re] LRN & database.inc

[Vyt]

Hello, All

Обнаружилось, что /var/www/html/LRN/database.inc имеет права
-rw-r--r--    1 root     root         2228 Май 16 12:57 database.inc
       ^
А ведь там пароль для доступа к базе данных. Или это у меня что-то
сглючило?

-- 
Regards, Vyt
mailto:vyt@vzljot.ru

Re: [mdk-re] LRN & database.inc

[Anton Farygin]

Vyt wrote:

> Hello, All
> 
> Обнаружилось, что /var/www/html/LRN/database.inc имеет права
> -rw-r--r--    1 root     root         2228 Май 16 12:57 database.inc
>        ^
> А ведь там пароль для доступа к базе данных. Или это у меня что-то
> сглючило?

Нет не сглючило.
На мой взгляд бесмысленно закрывать файл с паролем, который может 
прочитать любой пользователь, положивший небольшой PHP скриптик к себе в 
~/public_html/ ;-(

А те, кто действительно хочет закрыть - закроют его правами. Но все 
равно он должен читаться для пользователя apache, что означает его 
возможное открытие любым пользователм, который имеет права и умение 
писать скрипты для своей странички.

Rgds
Rider

Re: [mdk-re] LRN & database.inc

[Mikhail Zabaluev]

Hello Anton,

On Wed, May 23, 2001 at 03:32:09AM +0400, Anton Farygin wrote:
>
> Vyt wrote:
> 
> > Hello, All
> > 
> > Обнаружилось, что /var/www/html/LRN/database.inc имеет права
> > -rw-r--r--    1 root     root         2228 Май 16 12:57 database.inc
> >        ^
> > А ведь там пароль для доступа к базе данных. Или это у меня что-то
> > сглючило?
> 
> Нет не сглючило.
> На мой взгляд бесмысленно закрывать файл с паролем, который может 
> прочитать любой пользователь, положивший небольшой PHP скриптик к себе в 
> ~/public_html/ ;-(
> 
> А те, кто действительно хочет закрыть - закроют его правами. Но все 
> равно он должен читаться для пользователя apache, что означает его 
> возможное открытие любым пользователм, который имеет права и умение 
> писать скрипты для своей странички.

Можно и, наверное, даже нужно задать для PHP параметр open_basedir,
где перечислить безопасный набор каталогов, в которых скрипты могут
открывать файлы. Это, насколько я знаю, влияет и на require/include, и
на exec и пр. Указание "." будет открывать для каждого скрипта его
каталог. А в отдельных сайтах open_basedir можно расширять по вкусу.
Пользовательские CGI _нужно_ запускать через suexec.
Так что проблема решаема хотя бы теоретически.

-- 
Stay tuned,
  MhZ                                     JID: mookid@jabber.org
___________
If this is a service economy, why is the service so bad?

Re: [mdk-re] LRN & database.inc

[Vyt]

On Wed, 23 May 2001 11:57:55 +0400
Mikhail Zabaluev <mhz@alt-linux.org> wrote:

<skipped>

> > > Обнаружилось, что /var/www/html/LRN/database.inc имеет права
> > > -rw-r--r--    1 root     root         2228 Май 16 12:57 database.inc
> > >        ^
> > > А ведь там пароль для доступа к базе данных. Или это у меня что-то
> > > сглючило?
> >
> > Нет не сглючило.
> > На мой взгляд бесмысленно закрывать файл с паролем, который может
> > прочитать любой пользователь, положивший небольшой PHP скриптик к себе
в
> > ~/public_html/ ;-(
> >
> > А те, кто действительно хочет закрыть - закроют его правами. Но все
> > равно он должен читаться для пользователя apache, что означает его
> > возможное открытие любым пользователм, который имеет права и умение
> > писать скрипты для своей странички.
> 
> Можно и, наверное, даже нужно задать для PHP параметр open_basedir,
> где перечислить безопасный набор каталогов, в которых скрипты могут
> открывать файлы. Это, насколько я знаю, влияет и на require/include, и
> на exec и пр. Указание "." будет открывать для каждого скрипта его
> каталог. А в отдельных сайтах open_basedir можно расширять по вкусу.
> Пользовательские CGI _нужно_ запускать через suexec.
> Так что проблема решаема хотя бы теоретически.

Спасибо всем отреагировавшим :) Я имел в виду возможность локальному
пользователю узнать пароль.

<skipped>

-- 
Regards, Vyt
mailto:vyt@vzljot.ru

Re: [mdk-re] LRN & database.inc

[Anton Farygin]

Vyt wrote:

> On Wed, 23 May 2001 11:57:55 +0400
> Mikhail Zabaluev <mhz@alt-linux.org> wrote:
> 
> <skipped>
> 
>>>>Обнаружилось, что /var/www/html/LRN/database.inc имеет права
>>>>-rw-r--r--    1 root     root         2228 Май 16 12:57 database.inc
>>>>       ^
>>>>А ведь там пароль для доступа к базе данных. Или это у меня что-то
>>>>сглючило?
>>>>
>>>Нет не сглючило.
>>>На мой взгляд бесмысленно закрывать файл с паролем, который может
>>>прочитать любой пользователь, положивший небольшой PHP скриптик к себе
>>>
> в
> 
>>>~/public_html/ ;-(
>>>
>>>А те, кто действительно хочет закрыть - закроют его правами. Но все
>>>равно он должен читаться для пользователя apache, что означает его
>>>возможное открытие любым пользователм, который имеет права и умение
>>>писать скрипты для своей странички.
>>>
>>Можно и, наверное, даже нужно задать для PHP параметр open_basedir,
>>где перечислить безопасный набор каталогов, в которых скрипты могут
>>открывать файлы. Это, насколько я знаю, влияет и на require/include, и
>>на exec и пр. Указание "." будет открывать для каждого скрипта его
>>каталог. А в отдельных сайтах open_basedir можно расширять по вкусу.
>>Пользовательские CGI _нужно_ запускать через suexec.
>>Так что проблема решаема хотя бы теоретически.
>>
> 
> Спасибо всем отреагировавшим :) Я имел в виду возможность локальному
> пользователю узнать пароль.

Речь и идет об локальных пользователях.
Об тех, кто может писать скрипты на локальном хосте для WEB.
А совсем тупо можно в принципе сделать владельца database.inc apache и 
убрать права на чтение для остальных.

Rgds
Rider

Re: [mdk-re] LRN & database.inc

[Vyt]

On Thu, 24 May 2001 10:56:01 +0400
Anton Farygin <rider@altlinux.ru> wrote:

> А совсем тупо можно в принципе сделать владельца database.inc apache и
> убрать права на чтение для остальных.

А чем это тупо?

-- 
Regards, Vyt
mailto:vyt@vzljot.ru

Re: [mdk-re] LRN & database.inc

[Mikhail Zabaluev]

Hello Vyt,

On Thu, May 24, 2001 at 11:12:32AM +0400, Vyt wrote:
>
> On Thu, 24 May 2001 10:56:01 +0400
> Anton Farygin <rider@altlinux.ru> wrote:
> 
> > А совсем тупо можно в принципе сделать владельца database.inc apache и
> > убрать права на чтение для остальных.
> 
> А чем это тупо?

Тем, что всякий, кто может редактировать PHP-скрипты, исполняемые
Apache, все равно сможет прочитать этот файл.

-- 
Stay tuned,
  MhZ                                     JID: mookid@jabber.org
___________
I don't understand the HUMOUR of the THREE STOOGES!!

Re: [mdk-re] LRN & database.inc

[Anton Farygin]

Vyt wrote:

> On Thu, 24 May 2001 10:56:01 +0400
> Anton Farygin <rider@altlinux.ru> wrote:
> 
> 
>>А совсем тупо можно в принципе сделать владельца database.inc apache и
>>убрать права на чтение для остальных.
>>
> 
> А чем это тупо?

тупо тем, что по прежнему остается возможность читать этот файл другим 
скриптам.

Rgds
Rider

Re: [mdk-re] LRN & database.inc

[Vlad Vostrykh]

----- Original Message -----
From: "Mikhail Zabaluev" <mhz@alt-linux.org>
To: <mandrake-russian@altlinux.ru>
Sent: Wednesday, May 23, 2001 9:57 AM
Subject: Re: [mdk-re] LRN & database.inc


> Hello Anton,
>
> On Wed, May 23, 2001 at 03:32:09AM +0400, Anton Farygin wrote:
> >
> > Vyt wrote:
> >
> > > Hello, All
> > >
> > > Обнаружилось, что /var/www/html/LRN/database.inc имеет права
> > > -rw-r--r--    1 root     root         2228 Май 16 12:57 database.inc
> > >        ^
> > > А ведь там пароль для доступа к базе данных. Или это у меня что-то
> > > сглючило?
> >
> > Нет не сглючило.
> > На мой взгляд бесмысленно закрывать файл с паролем, который может
> > прочитать любой пользователь, положивший небольшой PHP скриптик к себе в
> > ~/public_html/ ;-(
> >
> > А те, кто действительно хочет закрыть - закроют его правами. Но все
> > равно он должен читаться для пользователя apache, что означает его
> > возможное открытие любым пользователм, который имеет права и умение
> > писать скрипты для своей странички.
>
> Можно и, наверное, даже нужно задать для PHP параметр open_basedir,
> где перечислить безопасный набор каталогов, в которых скрипты могут
> открывать файлы. Это, насколько я знаю, влияет и на require/include, и
> на exec и пр. Указание "." будет открывать для каждого скрипта его
> каталог. А в отдельных сайтах open_basedir можно расширять по вкусу.
Интересное решение :)
Но при этом люди не смогут свои параметры для PHP задавать, что иногда
бывает необходимо.
(А если смогут, то кто им помешает open_basedir прописать до вашего файла с
паролями? :))
В общем, аккуратно надо :)
Для случая с пользовательскими каталогами (http://server/~username) стоит
также посмотреть на параметр user_dir

> Пользовательские CGI _нужно_ запускать через suexec.
> Так что проблема решаема хотя бы теоретически.
_Теоретически_ проблема решается, насколько я понимаю, с приходом Apache 2
А практически (как вариант) -- запуском для каждого сервера своей копии
апача с отдельным User userId (необходимо, конечно, по отдельному ip и/или
порту для сайта)

WBR,
  Vlad Vostrykh

Re: [mdk-re] LRN & database.inc

[Mikhail Zabaluev]

Hello Vlad,

On Wed, May 23, 2001 at 12:37:47PM +0200, Vlad Vostrykh wrote:
>
> > Можно и, наверное, даже нужно задать для PHP параметр open_basedir,
> > где перечислить безопасный набор каталогов, в которых скрипты могут
> > открывать файлы. Это, насколько я знаю, влияет и на require/include, и
> > на exec и пр. Указание "." будет открывать для каждого скрипта его
> > каталог. А в отдельных сайтах open_basedir можно расширять по вкусу.
> Интересное решение :)
> Но при этом люди не смогут свои параметры для PHP задавать, что иногда
> бывает необходимо.
> (А если смогут, то кто им помешает open_basedir прописать до вашего файла с
> паролями? :))
> В общем, аккуратно надо :)

Угу. Options None. Все пожелания пользователей - через администратора и с
приложенным пивом :) Иначе - анархия и вседозволенность.

> Для случая с пользовательскими каталогами (http://server/~username) стоит
> также посмотреть на параметр user_dir
> 
> > Пользовательские CGI _нужно_ запускать через suexec.
> > Так что проблема решаема хотя бы теоретически.
> _Теоретически_ проблема решается, насколько я понимаю, с приходом Apache 2
> А практически (как вариант) -- запуском для каждого сервера своей копии
> апача с отдельным User userId (необходимо, конечно, по отдельному ip и/или
> порту для сайта)

Тоже вариант. Так и до colocation недалеко.

-- 
Stay tuned,
  MhZ                                     JID: mookid@jabber.org
___________
There's always free cheese in a mousetrap.

Re: [mdk-re] LRN & database.inc

[Anton Farygin]

Vlad Vostrykh wrote:

> ----- Original Message -----
> From: "Mikhail Zabaluev" <mhz@alt-linux.org>
> To: <mandrake-russian@altlinux.ru>
> Sent: Wednesday, May 23, 2001 9:57 AM
> Subject: Re: [mdk-re] LRN & database.inc
> 
> 
> 
>>Hello Anton,
>>
>>On Wed, May 23, 2001 at 03:32:09AM +0400, Anton Farygin wrote:
>>
>>>Vyt wrote:
>>>
>>>
>>>>Hello, All
>>>>
>>>>Обнаружилось, что /var/www/html/LRN/database.inc имеет права
>>>>-rw-r--r--    1 root     root         2228 Май 16 12:57 database.inc
>>>>       ^
>>>>А ведь там пароль для доступа к базе данных. Или это у меня что-то
>>>>сглючило?
>>>>
>>>Нет не сглючило.
>>>На мой взгляд бесмысленно закрывать файл с паролем, который может
>>>прочитать любой пользователь, положивший небольшой PHP скриптик к себе в
>>>~/public_html/ ;-(
>>>
>>>А те, кто действительно хочет закрыть - закроют его правами. Но все
>>>равно он должен читаться для пользователя apache, что означает его
>>>возможное открытие любым пользователм, который имеет права и умение
>>>писать скрипты для своей странички.
>>>
>>Можно и, наверное, даже нужно задать для PHP параметр open_basedir,
>>где перечислить безопасный набор каталогов, в которых скрипты могут
>>открывать файлы. Это, насколько я знаю, влияет и на require/include, и
>>на exec и пр. Указание "." будет открывать для каждого скрипта его
>>каталог. А в отдельных сайтах open_basedir можно расширять по вкусу.
>>
> Интересное решение :)
> Но при этом люди не смогут свои параметры для PHP задавать, что иногда
> бывает необходимо.
> (А если смогут, то кто им помешает open_basedir прописать до вашего файла с
> паролями? :))
> В общем, аккуратно надо :)
> Для случая с пользовательскими каталогами (http://server/~username) стоит
> также посмотреть на параметр user_dir
> 
> 
>>Пользовательские CGI _нужно_ запускать через suexec.
>>Так что проблема решаема хотя бы теоретически.
>>
> _Теоретически_ проблема решается, насколько я понимаю, с приходом Apache 2
> А практически (как вариант) -- запуском для каждого сервера своей копии
> апача с отдельным User userId (необходимо, конечно, по отдельному ip и/или
> порту для сайта)


Лучше всего - user-mode Linux тогда поставить.  ;-)

И проблем не будет даже в теории.

Rgds
Rider

Re: [mdk-re] LRN & database.inc

[Mikhail Zabaluev]

Hello Anton,

On Thu, May 24, 2001 at 10:57:04AM +0400, Anton Farygin wrote:
>
> > _Теоретически_ проблема решается, насколько я понимаю, с приходом Apache 2
> > А практически (как вариант) -- запуском для каждого сервера своей копии
> > апача с отдельным User userId (необходимо, конечно, по отдельному ip и/или
> > порту для сайта)
> 
> 
> Лучше всего - user-mode Linux тогда поставить.  ;-)
> 
> И проблем не будет даже в теории.

Зато будут проблемы в производительности?

-- 
Stay tuned,
  MhZ                                     JID: mookid@jabber.org
___________
The longest part of the journey is said to be the passing of the gate.
		-- Marcus Terentius Varro

Re: [mdk-re] LRN & database.inc

[Anton Farygin]

Mikhail Zabaluev wrote:

> Hello Anton,
> 
> On Thu, May 24, 2001 at 10:57:04AM +0400, Anton Farygin wrote:
> 
>>>_Теоретически_ проблема решается, насколько я понимаю, с приходом Apache 2
>>>А практически (как вариант) -- запуском для каждого сервера своей копии
>>>апача с отдельным User userId (необходимо, конечно, по отдельному ip и/или
>>>порту для сайта)
>>>
>>
>>Лучше всего - user-mode Linux тогда поставить.  ;-)
>>
>>И проблем не будет даже в теории.
>>
> 
> Зато будут проблемы в производительности?

Какие например?

Я не думаю, что будут проблемы с производительностью.

Rgds
Rider

Re: [mdk-re] LRN & database.inc

[Mikhail Zabaluev]

Hello Anton,

On Thu, May 24, 2001 at 10:54:28AM +0400, Anton Farygin wrote:
>
> Понятно.
> Итак, посмотрим - что же для меня нужно:
> 1. Включать библиотеки LRN, которые в данный момент лежат в составе 
> сайта, но есть мысль вынести их за его пределы.
> 2. Включать database.inc, в котором будут настройки сайтов и пароли 
> доступа к базам.
> 3. Читать/писать в /tmp
> 4. Читать .theme файлы, которые в принципе могут лежать в любом месте 
> системы, в том числе и в пользовательских каталогах (форум на 
> gimp.linux.ru.net так и реализован).

Если .theme лежит в том же каталоге, что и вызывающий ее скрипт - нет
проблем, включаешь '.' в перечисление open_basedir.

> И еще - а как в таком случае обстоят дела с запуском внешних программ?
> Например тип файла я определяю с помощью системной утилиты file, которая 
> обращается к /etc/mime-magic и /usr/share/mime ???

Вот тут бы не помешал exec-wrapper, который бы менял UID. Потому что
иначе можно с помощью cat прочитать все, что мы пытаемся защитить.

-- 
Stay tuned,
  MhZ                                     JID: mookid@jabber.org
___________
The truth about a man lies first and foremost in what he hides.
		-- Andre Malraux

Re: [mdk-re] LRN & database.inc

[Anton Farygin]

Mikhail Zabaluev wrote:

> Hello Anton,
> 
> On Thu, May 24, 2001 at 10:54:28AM +0400, Anton Farygin wrote:
> 
>>Понятно.
>>Итак, посмотрим - что же для меня нужно:
>>1. Включать библиотеки LRN, которые в данный момент лежат в составе 
>>сайта, но есть мысль вынести их за его пределы.
>>2. Включать database.inc, в котором будут настройки сайтов и пароли 
>>доступа к базам.
>>3. Читать/писать в /tmp
>>4. Читать .theme файлы, которые в принципе могут лежать в любом месте 
>>системы, в том числе и в пользовательских каталогах (форум на 
>>gimp.linux.ru.net так и реализован).
>>
> 
> Если .theme лежит в том же каталоге, что и вызывающий ее скрипт - нет
> проблем, включаешь '.' в перечисление open_basedir.


В том то и весь вопрос - они могут лежать где угодно. Это конечно можно 
разрешить организвационными мерами, но не так просто ;(


> 
> 
>>И еще - а как в таком случае обстоят дела с запуском внешних программ?
>>Например тип файла я определяю с помощью системной утилиты file, которая 
>>обращается к /etc/mime-magic и /usr/share/mime ???
>>
> 
> Вот тут бы не помешал exec-wrapper, который бы менял UID. Потому что
> иначе можно с помощью cat прочитать все, что мы пытаемся защитить.

Да. именно так.

Rgds
Rider