🚀 go-pugleaf

Ruben Unteregger <run@spin.ch> wrote in ch.comp.os.linux:

>hallo zusammen
>
>ich stehe vor dem problem, usern ein eigenes cgi-bin verzeichnis zu 
>uebergeben wo sie ihre skripts lagern koennen. nun kann und will ich
>sie nicht einfach irgendwelche skripts raufladen lassen (denn sie wissen
>nicht was sie tun) welche die serversicherheit in gefaehrden koennen.
>ist es 
>moeglich, bei einem cgi-aufruf eines virtuellen www-servers ein chroot
>auf das homeverzeichnis des www-servers zu machen? gibt es andere
>loesungen,
>welche das problem beseitigen wuerden??

Ein chroot beim Aufruf eines CGI's kann recht einfach mit ein paar
zus�tzlichen Zeilen im suEXEC realisiert werden. Diesen aber in die
Webroot zu machen ist ziemlich unsinnig.

Besser gleich den Apache selbst auf einer eigenen Partition welche
mindestens mit nosuid, nodev und idealerweise auch noexec gemountet
ist chrooted laufen lassen. Solange einer noch nicht root ist hilft
das schon ganz gut und verhindert wirkungsvoll das �ber irgendein
CGI eine Shell oder sonstwas gestartet werden kann.

Das A und O sind aber noch immer korrekt gesetzte Ressourcen denn
auch vom Chroot-Jail aus kann der Server lahmgelegt werden.

Eine M�glichkeit ist es einfach nur PHP zuzulassen, da sind die
Einschr�nkungen recht bequem einzustellen. Nach meinen Erfahrungen
beginnen recht bald alle User PHP zu lieben<g>

>neben bei noch zu erwaehnen: als webserver verwende ich apache 1.3.0

Aktuell ist 1.36...


Roland