1. Форумы
  2. Общее
  3. Обсуждение
  1. Boris Dolgov
  2. Воскресенье, 03 июля 2011
  3. Подписка по электронной почте
Привет!

Поскольку у вас есть исправленное ядро, я думаю, что это будет отличная возможность разрешить mod_hostinglimits для процесса setuid apache для пользователя указанного LVE, а затем установить его обратно непривилегированному пользователю (в способе, которым mod_hostinglimits выходит из LVE).
Это может иметь много дыр в безопасности, но я считаю, что правильная реализация не может.
Оценить этот пост:
  1. 03.07.2011 21:07:37
  2. # 1
Игорь Селецкий Принято ответа
Сообщений: 1200
Присоединился: 09.02.2010
0
Голосов
расстегивать
Борис,

Мы изначально хотя об этом и даже реализовали его. Тем не менее, просто посмотрев на это, мы поняли, насколько громадным явлением безопасности является такой подход.
Возможность для пользователя apache переключиться на произвольный пользователь и обратно - слишком большая дыра, которая будет злоупотреблять хакерами.
  1. 04.07.2011 04:07:32
  2. # 2
Boris Dolgov Принято ответа
Сообщений: 11
Присоединился: 03.07.2011
0
Голосов
расстегивать
Возможно, вы можете реализовать что-то подобное mpm-itk для apache с этой функциональностью и упаковать его в свой репозиторий? Процессы запускаются с возможностью setuid, когда запрос анализируется mpm или mod применяет ограничения LVE и SecureLVE, setuids и drop setuid, и когда обрабатывается запрос (или все запросы в keepalive-session, соответствующие текущему пользователю), убивает текущий apache обработать.
  1. 04.07.2011 07:07:44
  2. # 3
Игорь Селецкий Принято ответа
Сообщений: 1200
Присоединился: 09.02.2010
0
Голосов
расстегивать
Извините, но, на мой взгляд, MPM-itk - это один большой кошмар безопасности по дизайну, который также имеет ужасную производительность.
Запуск от root, переключение на произвольный uid изнутри apache просто слишком большой проблемой. Это должно быть слишком легко злоупотреблять.
  1. 05.07.2011 19:07:29
  2. # 4
Boris Dolgov Принято ответа
Сообщений: 11
Присоединился: 03.07.2011
0
Голосов
расстегивать
Вы здесь, это может быть проблемой безопасности, но мы разрешаем серверам FTP и SSH работать от имени root до завершения аутентификации пользователя; мы запускаем один сервер MySQL для всех пользователей, который может быть легко атакован DoS.
Убивание процесса после каждого процесса запроса на поддержание является большой служебной нагрузкой, но php-cgi имеет гораздо большую надменную нагрузку --.it fork () s, execve () s два раза, setuid () s и exit () s.
Или вы рекомендуете использовать php-fcgi и забыть о mod_php и php-cgi?
  1. 05.07.2011 20:07:03
  2. # 5
Игорь Селецкий Принято ответа
Сообщений: 1200
Присоединился: 09.02.2010
0
Голосов
расстегивать
Если вы посмотрите на код SSH и FTP - это очень просто (часть аутентификации):
проверить полномочия / отказаться от привилегий.
Вы должны держать поверхность атаки как можно меньше.

Это не так с ITK - apache делает много вещей между принятием запроса и обработкой виртуального хоста. Значит, это намного опаснее.

Кроме того, в то время как php-cgi работает медленнее, чем MPM ITK, если вы добавляете статическую HTML-службу ITK - вы получите лучшую производительность с MPM Worker + PHP как cgi, а затем с ITK (хотя я видел, как люди, ставящие nginx перед собой, преодолевали что).
Кроме того, с точки зрения производительности suPHP лучше, чем php как cgi, а mod_fcgid сопоставим по скорости с mod_php (хотя для этого требуется больше ОЗУ).
  1. 07.07.2011 06:07:07
  2. # 6
Boris Dolgov Принято ответа
Сообщений: 11
Присоединился: 03.07.2011
0
Голосов
расстегивать
Я не могу согласиться с тем, что часть разбора запроса httpd сложна.
Все другое - это конфигурация и mpm, которые намного труднее использовать.

Я попробую использовать php-fcgi на своем тестовом сервере, чтобы сравнить его с mpm-itk.
  • Страница:
  • 1


Там нет ответов, сделанные на этот пост пока нет.
Будьте одним из первых, чтобы ответить на этот пост!
гость
Отправить Ваш ответ
Загрузить файлы или изображения для обсуждения этого вопроса, нажав на кнопку загрузки ниже. опоры GIF, JPG, PNG, ZIP, RAR, PDF
• Вставить • Удалить Загрузка файлов (Максимальный размер файла: 2 MB)
Защитный код
Чтобы защитить сайт от ботов и несанкционированных сценариев, мы требуем, чтобы вы ввели коды капчи ниже, прежде чем отправить свой вопрос.