Strona 1 z 2 12 OstatniOstatni
Pokaż wyniki 1 do 10 z 11

Temat: Zabezpieczenie konta na hostingu przed shellcode

  1. #1
    Zarejestrowany
    Oct 2010
    Postów
    1

    Domyślnie Zabezpieczenie konta na hostingu przed shellcode

    Posiadam konto na pewnym hostingu i stworzyłem sobie konto ftp dla drugiego użytkownika podpinając je pod jedną z domen umieszczonych na tym hostingu
    czyli użytkownik logując się przez ftp ma dostęp jedynie do katalogu mojadomena.pl
    czyli do tej ścieżki
    /home/nazwa_uzytkownika/public_html/domeny/mojadomena.pl/
    lecz sprawdziłem sobie wrzucając shellcode czy nie da się nim przejść do innych katalogów na serwerze i niestety można sobie przeglądać
    wszystkie katalogi nawet te /home/nazwa_uzytkownika/public_html/domeny/ oraz /home/nazwa_uzytkownika/public_html/
    czy da się przed tym jakoś zabezpieczyć ? czy to musi administrator serwera wykonać czy moge to zabezpieczyć osobiście ?

  2. #2
    Zarejestrowany
    Jun 2006
    Skąd
    rand(.eu)
    Postów
    8,748

    Domyślnie

    to musi admin serwera... na wspoldzielonych hostingach tak juz jest
    ctrl-alt-del.cc - soft reset site for IT admins and other staff :-)

  3. #3
    mijagi jest offline mijagi.eu
    Zarejestrowany
    Oct 2009
    Skąd
    Poland
    Postów
    59

    Domyślnie

    na większości hostingów masz coś takiego jak public_ftp ;> zrób po prostu jakieś konto kumplowi i odwołuj się poprzez ftp://link.pl, tam shell'em nie zawojuje ;>

  4. #4
    Zarejestrowany
    Nov 2009
    Postów
    643

    Domyślnie

    czasami działa php.ini open_basedir, lecz wystarczy umieścić skrypt w podrzędnym katalogu lub utworzyć plik php.ini z innym ustawieniam open_basedir aby to obejść...

    lepiej kup taniego resellera.
    światło mądrości oświetla drogę z nikąd do nikąd

  5. #5
    Zarejestrowany
    Jun 2006
    Skąd
    rand(.eu)
    Postów
    8,748

    Domyślnie

    najlepsze zabezpieczenie przed shell'ami to zablokowac polaczenia wychodzace z serwera i zezwolic tylko aby ten odpowiadal na zapytania www - jesli to serwer www to nic wiecej nie powinien potrzebowac (to plus DNS i aktualizacje - amen)... nawet jesli ktos wrzuci shella to i tak bedzie on bezuzyteczny - nawet nie wiecie jak bardzo kolesie sie wkur**** jak nic nie dziala tak jak chca...

    EDIT: niedlugo skoncze mam nadzieje analize serwera jednego ze znajomych i mam nadzieje opisac jak wlamano sie na jego serwer, co zrobiono i jak mozna bylo temu zapobiec... ktos zainteresowany takimi opisami?
    Ostatnio edytowane przez TQM : 11-01-2010 - 22:52
    ctrl-alt-del.cc - soft reset site for IT admins and other staff :-)

  6. #6
    Zarejestrowany
    Nov 2009
    Postów
    643

    Domyślnie

    Cytat Napisał TQM Zobacz post
    ktos zainteresowany takimi opisami?
    owszem, Nie ;>
    światło mądrości oświetla drogę z nikąd do nikąd

  7. #7
    Zarejestrowany
    Sep 2009
    Skąd
    Z Nienacka
    Postów
    396

    Domyślnie

    Cytat Napisał TQM Zobacz post
    EDIT: niedlugo skoncze mam nadzieje analize serwera jednego ze znajomych i mam nadzieje opisac jak wlamano sie na jego serwer, co zrobiono i jak mozna bylo temu zapobiec... ktos zainteresowany takimi opisami?
    zdecydowanie tak...będę wdzieczny...

    Pozdrawiam

  8. #8
    mijagi jest offline mijagi.eu
    Zarejestrowany
    Oct 2009
    Skąd
    Poland
    Postów
    59

    Domyślnie

    też bym przeczytał

    nie rozumiem dlaczego tak kombinujecie w sprawie tego shella ;> wystarczy zrobić konto FTP odnoszące się do /twoja/sciezka/do/domeny/domena.pl/public_ftp, tam nikt nie wykona kodu php;>

    Offtopic: @TQM: gdzie to wrzucisz, prowadzisz jakiegoś bloga ;>

  9. #9
    Zarejestrowany
    Jun 2006
    Skąd
    rand(.eu)
    Postów
    8,748

    Domyślnie

    no i dobrze skonfigurowane ftp najlepsze do tego...

    re off-topic - tak, adres w stopce pod postem
    ctrl-alt-del.cc - soft reset site for IT admins and other staff :-)

  10. #10
    Zarejestrowany
    Sep 2006
    Postów
    1,227

    Domyślnie

    W skrócie, obecnie nie ma możliwości pełnego zabezpieczenia hosta obsługującego protokół ftp.
    Najlepiej ustawić chroot i udostępnić zasoby za pośrednictwem sftp.

Strona 1 z 2 12 OstatniOstatni

Zasady Postowania

  • Nie możesz zakładać nowych tematów
  • Nie możesz pisać wiadomości
  • Nie możesz dodawać załączników
  • Nie możesz edytować swoich postów
  •  
Subskrybuj