[Comm] PHP: Виртуальный хостинг

[Comm] PHP: Виртуальный хостинг

[Прокопьев Евгений]

Здравствуйте!

Необходимо организовать виртуальный хостинг для PHP, пользователям 
которого требуется:

1. Возможность исполнять php-скрипты от своего имени, а не от имени 
пользователя apache
2. Возможность творить в своем домашнем каталоге (и только в нем) 
средствами php все что угодно (удалять и создавать каталоги, файлы).

Первая задача легко решается средствами suexec и использованием php в 
виде cgi (это единственное решение?). В этом случае приходится создавать 
виртуальный хост следующего вида:

<VirtualHost 192.168.1.1>
     User web1
     Group webusers
     ServerName web1.athlon.home
     DocumentRoot /home/web1/web
     ScriptAlias /bin/ "/home/web1/web/bin/"
     AddType appication/x-httpd-php .php
     Action appication/x-httpd-php /bin/php
</VirtualHost>

Структура каталогов пользователя web1 и права доступа в этом случае 
выглядят так:

# ls -l /home/
total 866
...
drwxr-xr-x    5 web1     webusers      208 Nov 22 14:17 web1
# ls -l /home/web1/
total 1
drwx------    7 web1     webusers      224 Nov 22 14:08 tmp
drwxr-xr-x    3 web1     webusers      136 Nov 22 14:08 web
# ls -l /home/web1/web/
total 9
drwxr-xr-x    2 web1     webusers       96 Nov 22 11:02 bin
-rw-r--r--    1 web1     webusers      207 Nov 22 14:13 index.html
-rw-r--r--    1 web1     webusers       17 Nov 22 11:36 index.php
# ls -l /home/web1/web/bin/
total 1300
-rwxr-xr-x    1 web1     webusers  1293658 Nov 22 11:02 php
-rw-r--r--    1 web1     webusers    36754 Nov 22 11:02 php.ini

И вот такое решение не дает решить вторую задачу, а именно, ограничить 
пользователя web1 своим каталогом, запретив ему средствами php читать 
чужие файлы (или хотя бы файлы пользователей web2 и web3, у которых 
структура каталогов и описание хоста аналогичны).

Если выставить для домашних каталогов пользователей права rwx------, то 
при обращении к любому файлу витруального хоста получаем "You don't have 
permission to access /index.php on this server".

Если включить safe_mode=on в php.ini, то очевидно, что никто не помешает 
пользователю выключить его, то же касается любых вариантов ограничить 
действия пользователя средствами php. Чтобы пользователь не смог 
модифицировать php.ini или бинарник php, необходимо сделать владельцем 
его домашего каталога другого пользователя - тем самым мы сломаем suexec.

Что остается?

-- 
С уважением, Прокопьев Евгений

[Comm] Re: PHP: Виртуальный хостинг

[Konstantin Lepikhov]

Hi Прокопьев!

Sunday 23, at 12:59:41 PM you wrote:

> Здравствуйте!
> 
> Необходимо организовать виртуальный хостинг для PHP, пользователям 
> которого требуется:
> 
> 1. Возможность исполнять php-скрипты от своего имени, а не от имени 
> пользователя apache
> 2. Возможность творить в своем домашнем каталоге (и только в нем) 
> средствами php все что угодно (удалять и создавать каталоги, файлы).
<skip>

> 
> Если выставить для домашних каталогов пользователей права rwx------, то 
> при обращении к любому файлу витруального хоста получаем "You don't have 
> permission to access /index.php on this server".
> 
> Если включить safe_mode=on в php.ini, то очевидно, что никто не помешает 
> пользователю выключить его, то же касается любых вариантов ограничить 
> действия пользователя средствами php. Чтобы пользователь не смог 
> модифицировать php.ini или бинарник php, необходимо сделать владельцем 
> его домашего каталога другого пользователя - тем самым мы сломаем suexec.
> 
> Что остается?
> 
Использовать POSIX ACL/либо что-нибудь типа trustee

-- 
WBR, Konstantin	      chat with ==>ICQ: 109916175
     Lepikhov,	      speak  to ==>JID: lakostis@jabber.org
aka L.A. Kostis       write  to ==>mailto:lakostis@pisem.net.nospam

...The information is like the bank... 			  (c) EC8OR

Re: [Comm] Re: PHP: Виртуальный хостинг

[Прокопьев Евгений]

Konstantin Lepikhov пишет:
> Hi Прокопьев!
> 
> Sunday 23, at 12:59:41 PM you wrote:
> 
> 
>>Здравствуйте!
>>
>>Необходимо организовать виртуальный хостинг для PHP, пользователям 
>>которого требуется:
>>
>>1. Возможность исполнять php-скрипты от своего имени, а не от имени 
>>пользователя apache
>>2. Возможность творить в своем домашнем каталоге (и только в нем) 
>>средствами php все что угодно (удалять и создавать каталоги, файлы).
> 
> <skip>
> 
>>Если выставить для домашних каталогов пользователей права rwx------, то 
>>при обращении к любому файлу витруального хоста получаем "You don't have 
>>permission to access /index.php on this server".
>>
>>Если включить safe_mode=on в php.ini, то очевидно, что никто не помешает 
>>пользователю выключить его, то же касается любых вариантов ограничить 
>>действия пользователя средствами php. Чтобы пользователь не смог 
>>модифицировать php.ini или бинарник php, необходимо сделать владельцем 
>>его домашего каталога другого пользователя - тем самым мы сломаем suexec.
>>
>>Что остается?
>>
> 
> Использовать POSIX ACL/либо что-нибудь типа trustee

Да, к соседям в папки я пользователя не пущу, но как быть с ограничением 
права подниматься выше своей домашней директории в принципе?

Да и еще: хорошо бы, чтобы схема работала и на FreeBSD STABLE (где acl 
отсутствуют).

-- 
С уважением, Прокопьев Евгений

[Comm] Re: PHP: Виртуальный хостинг

[Konstantin Lepikhov]

Hi Прокопьев!

Sunday 23, at 01:56:02 PM you wrote:

<skip>
> >
> >Использовать POSIX ACL/либо что-нибудь типа trustee
> 
> Да, к соседям в папки я пользователя не пущу, но как быть с ограничением 
> права подниматься выше своей домашней директории в принципе?
Патчить php на принудительное использование safe mode, независимо от
настроек :)

> 
> Да и еще: хорошо бы, чтобы схема работала и на FreeBSD STABLE (где acl 
> отсутствуют).
> 
Есть там ACL, правда в виде сторонних патчей, кажется проект называется
TrustedBSD.

-- 
WBR, Konstantin	      chat with ==>ICQ: 109916175
     Lepikhov,	      speak  to ==>JID: lakostis@jabber.org
aka L.A. Kostis       write  to ==>mailto:lakostis@pisem.net.nospam

...The information is like the bank... 			  (c) EC8OR

Re: [Comm] Re: PHP: Виртуальный хостинг

[Прокопьев Евгений]

Konstantin Lepikhov пишет:

> Hi Прокопьев!
> 
> Sunday 23, at 01:56:02 PM you wrote:
> 
> <skip>
> 
>>>Использовать POSIX ACL/либо что-нибудь типа trustee
>>
>>Да, к соседям в папки я пользователя не пущу, но как быть с ограничением 
>>права подниматься выше своей домашней директории в принципе?
> 
> Патчить php на принудительное использование safe mode, независимо от
> настроек :)

Бинарник php будет лежать у пользователя (см. выше схему каталогов), 
поэтому при необходимости он себе сам какой надо сделает :)

>>Да и еще: хорошо бы, чтобы схема работала и на FreeBSD STABLE (где acl 
>>отсутствуют).
>>
> 
> Есть там ACL, правда в виде сторонних патчей, кажется проект называется
> TrustedBSD.

Да нет, есть причины, по которым разрешается использовать только 
стандартные решения.

Была мысль на тему chroot, но не слишком ли это громоздко. Что по 
минимуму надо туда запихать, чтоб оно работало так, как мне надо? Как 
это вообще правильно делается, есть какое-нибудь внятное описание?

-- 
С уважением, Прокопьев Евгений

[Comm] Re: PHP: Виртуальный хостинг

[Konstantin Lepikhov]

Hi Прокопьев!

Wednesday 26, at 09:13:21 AM you wrote:

<skip>
> Бинарник php будет лежать у пользователя (см. выше схему каталогов), 
> поэтому при необходимости он себе сам какой надо сделает :)
> 
> >>Да и еще: хорошо бы, чтобы схема работала и на FreeBSD STABLE (где acl 
> >>отсутствуют).
> >>
> >
> >Есть там ACL, правда в виде сторонних патчей, кажется проект называется
> >TrustedBSD.
> 
> Да нет, есть причины, по которым разрешается использовать только 
> стандартные решения.
> 
> Была мысль на тему chroot, но не слишком ли это громоздко. Что по 
> минимуму надо туда запихать, чтоб оно работало так, как мне надо? Как 
> это вообще правильно делается, есть какое-нибудь внятное описание?
> 
Тогда только chroot. Насчет внятного описания - можно погуглить. Вон, в
OBSD уже изначально httpd в chroot запихали.

-- 
WBR, Konstantin	      chat with ==>ICQ: 109916175
     Lepikhov,	      speak  to ==>JID: lakostis@jabber.org
aka L.A. Kostis       write  to ==>mailto:lakostis@pisem.net.nospam

...The information is like the bank... 			  (c) EC8OR

[Comm] Re: PHP: Виртуальный хостинг

[Konstantin Lepikhov]

Hi Прокопьев!

Wednesday 26, at 09:13:21 AM you wrote:

<skip>
> Была мысль на тему chroot, но не слишком ли это громоздко. Что по 
> минимуму надо туда запихать, чтоб оно работало так, как мне надо? Как 
> это вообще правильно делается, есть какое-нибудь внятное описание?
> 
Пока писал письмо - пришла дурацкая мысль - а может им vserver сделать,
пусть каждый свой и курочит. 
 
-- 
WBR, Konstantin	      chat with ==>ICQ: 109916175
     Lepikhov,	      speak  to ==>JID: lakostis@jabber.org
aka L.A. Kostis       write  to ==>mailto:lakostis@pisem.net.nospam

...The information is like the bank... 			  (c) EC8OR

Re: [Comm] Re: PHP: Виртуальный хостинг

[Прокопьев Евгений]

Konstantin Lepikhov пишет:

> Hi Прокопьев!
> 
> Wednesday 26, at 09:13:21 AM you wrote:
> 
> <skip>
> 
>>Была мысль на тему chroot, но не слишком ли это громоздко. Что по 
>>минимуму надо туда запихать, чтоб оно работало так, как мне надо? Как 
>>это вообще правильно делается, есть какое-нибудь внятное описание?
>>
> 
> Пока писал письмо - пришла дурацкая мысль - а может им vserver сделать,
> пусть каждый свой и курочит. 

кому, юзерам? Так это потяжелее чрута будет (тем более что основной 
сервер вполне сам может оказаться в vds :) ). И опять, как это делать? 
Гуглил, кстати, и на тему чрута тоже, но самое человечное описание (хоть 
и сверхкраткое) на альтовском же сайте и нашел. Ничего еще нет?

-- 
С уважением, Прокопьев Евгений

[Comm] Re: PHP: Виртуальный хостинг

[Konstantin Lepikhov]

Hi Прокопьев!

Wednesday 26, at 10:32:17 AM you wrote:

> Konstantin Lepikhov пишет:
> 
> >Hi Прокопьев!
> >
> >Wednesday 26, at 09:13:21 AM you wrote:
> >
> ><skip>
> >
> >>Была мысль на тему chroot, но не слишком ли это громоздко. Что по 
> >>минимуму надо туда запихать, чтоб оно работало так, как мне надо? Как 
> >>это вообще правильно делается, есть какое-нибудь внятное описание?
> >>
> >
> >Пока писал письмо - пришла дурацкая мысль - а может им vserver сделать,
> >пусть каждый свой и курочит. 
> 
> кому, юзерам? Так это потяжелее чрута будет (тем более что основной 
> сервер вполне сам может оказаться в vds :) ). И опять, как это делать? 
> Гуглил, кстати, и на тему чрута тоже, но самое человечное описание (хоть 
> и сверхкраткое) на альтовском же сайте и нашел. Ничего еще нет?
> 
Плохо гуглили =)

http://www.devet.org/apache/chroot/

http://www.securityfocus.com/infocus/1694

- как раз для FreeBSD.

-- 
WBR, Konstantin	      chat with ==>ICQ: 109916175
     Lepikhov,	      speak  to ==>JID: lakostis@jabber.org
aka L.A. Kostis       write  to ==>mailto:lakostis@pisem.net.nospam

...The information is like the bank... 			  (c) EC8OR