Valaki kerlek magyarazza el az ertetlen !webes fejemnek hogy miert kellett irasjogot hagyni a webszervernek a sajat wwwrootjaba? Es ez most nem trollkodas, tenyleg baromira kivancsi vagyok.

BTW:
Kivancsi lennek, hogy mikor vettek volna eszre, ha nem dosoljak a gepet.

Security firms FTW \o/

synapse

@synapse: Pl. mert vannak appok, amik a wwwroot alá cache-elnek, vagy simán statikus tatalmat állítanak elő (vannak ilyen tartalomkezelők is). Ettől függetlenöl persze elképzelhető, hogy bénán volt konfigolva a cucc.

Azt en ertem, de igy by design el van cseszve mar maga a koncepcio. Illetve ha nem allit elo mast, csak statikus tartalmat akkor teljesen valid az, hogy kirakjuk wwwroot-on kivulre, vagy csak letiltjuk a .php-k kezeleset. Alapvetoen azzal nem ertek egyet, hogy meghivhato kodot lehessen barmilyen application-be injektalni.

synapse

@synapse:

Nem mondom, hogy 100%-ban átjött amit gondoltál, de azért megpróbálok reagálni:

"Azt en ertem, de igy by design el van cseszve mar maga a koncepcio" - Már látom magam előtt: SynapseHTTPD ... :D

"Illetve ha nem allit elo mast, csak statikus tartalmat akkor teljesen valid az, hogy kirakjuk wwwroot-on kivulre, vagy csak letiltjuk a .php-k kezeleset" - A gyakorlatban a tartalom jelentékeny része dinamikusan változik, nem érdemes cache-elni.

"Alapvetoen azzal nem ertek egyet, hogy meghivhato kodot lehessen barmilyen application-be injektalni." - Hát én se, de ha belegondolsz, egy buffer overflow is erről szól. Itt egyébként vszínű nem is injektáltak semmit sehova, csak sikerült átverni egy .php-t valamilyen szűrőn (vajon hogy csinálták ? ;)

"Már látom magam előtt: SynapseHTTPD ... :D"

Rohogni fogsz, szamtalan (igaz irtoprimitiv) http szervert irtam mar kulonbozo nyelveken, klienseket ugyszinten, szoval nempara hetvegere megvan ;)

"A gyakorlatban a tartalom jelentékeny része dinamikusan változik, nem érdemes cache-elni."

Itt nem a cache-elesrol beszeltem, hanem arrol, hogy az adat kovesse a W^X alapelveit. Oda, ahonnan dinamikus tartalmat szolgal ki (php scriptek), ne lehessen irni /vagy ezeket modositani/. Kovetkezeskeppen adat kerulhet a rendszerbe, futtathato kod nem :)

"Hát én se, de ha belegondolsz, egy buffer overflow is erről szól. Itt egyébként vszínű nem is injektáltak semmit sehova, csak sikerült átverni egy .php-t valamilyen szűrőn (vajon hogy csinálták ? ;)"

Injektalas alatt mondjuk fileup/downloadot ertettem a wwwrootba. A BoF az ennek ekes peldaja, de minden upload.php-s moka is errol szol es arrol, hogy gyokerek az oldal kitalaloi a unix permissionokhoz. Lenyegeben semmi igenye nem kene, hogy legyen egy webappnak a sajat kodjat modositani, esetleg ahhoz hozzarakni barmit is. Ezt kezeljuk is ugy, hogy www-data-tol elvesszuk a fileokat es a folos jogokat. Ezutan lehet probalkozni phpshell wget-elesevel, satobbivel.

Az openBSD security mehanizmusait erdemes lehet meg atnezni es/vagy a vsftpd security modelljet. Remek anyagok.

synapse

Gyerekek nem unjátok?: )
Itt sok embernek ez kínai..
Szerintem meg felesleges..

apa kezdődik :D

alapból már egy jól megírt php scriptnek sem szabadna engednie a futtatható állományok feltöltését, és nem csak kiterjesztés, hanem mimetype alapján sem.

@synapse: Hallod, kezdesz atmenni b3nsz4-be..

Ne már.. :-(

1. off: nem ertem, hogy synapse miert kezdene atmenni b3nsz4-be, aki nem erti mirol beszelnek, az magara vessen.

2: az ilyenek elkerulesere, remekul alkalmas, az adott webhoszt fbsd jailben valo futtatasa :) imho

"@synapse: Hallod, kezdesz atmenni b3nsz4-be.."

Na ezt kerlek fejtsd ki :)

synapse

xD lol.
miért lenne olyan mint én?: )

az hogy nem tetszik a stílusom ahogy dolgozom : ) az szar ügy.. mégis van állásom : O és olyan dolgaim amiket te 17 évesen még csak álmodtál..

na hagyjuk itt a viaskodást : O me nem ide tartozik..

Nyomtattatok pólót a kovetkezo szoveggel:
"latod... mondtam hogy buta vagy."
Ott leszek a jó helyen, a jó időben, ebben a poloban.

"és olyan dolgaim amiket te 17 évesen még csak álmodtál.."

Na ki lesz tizennyolc jovore? ;)

synapse