Защита от форк бомбы?

позвоните уже администратору сервера

userdel, очевиддно, memory quotas, OOM-killer

ах, ну и ещё openvz тебе в помощь.

В Solaris есть удобный механизм для ограничения количества запускаемых процессов/потоков — проект.

#projadd -U testuser -K 'project.max-lwps=(privileged,2048,deny)' user.testuser

сейлормун, не используй лунную призму - она наше последнее секретное оружие. Воспользуйся ей, после того как придёт и сольётся такседомаск с банхаммером!

кто о чём, а вшивый о солнце

На самом деле я торможу. Он уже использовал лимиты, у него в блоге по ссылке описано.

А по ссылке ходили? Я ограничивал processes до 20. Или что-то упустил?

Уже ходил... :)

Есть какой-то «cgroups» может он лучше работает чем эти limits.conf

userdel

Контролировать действия каждого нового юзера на хостинге?

memory quotas, OOM-killer

А конкретней можно?

Есть, знаю, что лучше, но то уже впски.

Хм. Форк бомба на С грузит систему овердохрена, по в итоге он убивается, и все продолжает работать в нормальном режиме.

Так подкрути лимиты. Что сложного

Подкрутил, по ссылке написано. Может что-то упустил, вроде тестил, все нормально было.

аа, ты уже использовал. ну тогда только запихивать каждого юзера в контейнер, где у него ессно будут лимит памяти.

Сейчас та же форк-бомба, только перловая ложит сервер

Прям абсолютно та же? Прям один в один?
Докажи

Не та же.

Вот перловый скрипт с содержанием:

#!/usr/bin/perl
fork while fork

Те подкрученные мною лимиты по ссылке не действуют в таком случае? И если да, что как быть?

Неужто прописывать во всех конфигах pam limits?

лимиты на кол-во процессов, а здесь памяти не хватает.

У меня вообще дефолтные значения Alt. Читал невнимательно и только у себя проверил что они работают.

Почему памяти не хватает? Я же ограничение на процессы ставил, на баш-сессии они срабатывали, а на перловой - нет.

Вот и назревает вопрос, какой конфиг pam.d использует перл/cgi?

какой конфиг pam.d использует перл/cgi?

Зависит от того, что у тебя там - модуль апача, чистый cgi(1 процесс на 1 запрос) или какой-нибудь FastCGI

Вот и назревает вопрос, какой конфиг pam.d использует перл/cgi?

скорее всего никакой

стрёмное решение у тебя по ссылке.

Вместо загрузки с live - можно просто и безопасно загрузиться в single-mode

И еще, отрубить exec() и аналогичные фени которые не позволят школьникам портить всю малину.

PS: ispmanager - говно.

fastcgi

дай угадаю, апач с каким-нибудь mod_fcgid, запущенный через init.d? Оно форкнет процесс с setuid и все твои лимиты сотрутся к чертям. Попробуй свой перл-форк запустить, в консоли он не должен работать, а в cgi-bin должен. Попробуй вписать свой ulimit -u или что ты там делаешь в инитскрипт стартующий апач и рестартани.

А что есть в содержимое перлового скрипта, собственно записать не #!/usr/bin/perl fork while fork а

#!/usr/bin/perl
system("ulimit -a");

Это уже будет считаться как вызов шелл команды и будет игнорировать limits?

я не помню перла, но по идее system(«ulimit -a») должно дернуть шелл, а system(«ulimit»,"-a") шелл не дернет

так ты уже попробовал ulimit -u 256 в конфиге апача? xD

Нет, если честно не совсем понял, куда в инициализационный файл апача вставлять код. Сейчас проверю свои версии с pam и подумаю над Вашим предложением. Спасибо.

вот еще нашел как шелл запускать из перла:

#!/usr/bin/perl
use strict;
use warnings;
my $info = <<`SHELL`;
ulimit -a
exit 0
SHELL
print "$info\n";

Нет, если честно не совсем понял, куда в инициализационный файл апача вставлять код.

в самый верх инитскрипта. делаешь vim /etc/init.d/apache2 (или как он там у тебя называется), и первой же строчкой после #!/bin/sh делаешь ulimit -u 256 И сразу после этого перезапускаешь через sudo service apache2 restart

Добавил, перезагрузил.

результат-то какой, бомба продолжает работать?

Да, в limits.conf ограничение удалил. В инициализационный скрипт запись добавил. Бомба по крону запустилась, лимит не сработал.

Значит, что я сделал.

Практически во всех конфигах /etc/pam.d/* прописал session required pam_limits.so.

В limits.conf:

@mgrsecure       soft    nproc          20

#!/usr/bin/perl
system("ulimit -a > new.file");

Либо я вообще не в ту сторону рою.

каким именно модулем запускаются у тебя эти перловые скрипты в апаче?

Просто нужно удалить интерпретатор пердла.

Не знаю, как можно отследить?

Дефолтная связка apache+nginx+fastcgi cgi-bin юзерам разрешен.

Пока временное решение, сделать права 754 для перла и питона.

-noexec во все поля

Это насчет чего -noexec?

fstab

-noexec на /usr/bin/perl?

В инициализационный скрипт запись добавил. Бомба по крону
запустилась, лимит не сработал.

А как, вообще, запускается apache ? И Апач ли ? Впрочем, если не Апач, всё может быть как-то аналогично.

Во многих Линуксах используется скрипт apachectl (apachectl2). В нём могут быть свои настройки для данного момента. Причём ещё этот apachectl может быть разным, в зависимости от дистрибутива. В некоторых httpd может запускаться через limited, тогда конфиг может быть в /etc/sysconfig/limits.d/ каком-нибудь, или в /etc/sysconfig/limits... Варианты, в общем, есть.

Пробовал в /etc/apache2/envvars писать:

APACHE_ULIMIT_MAX_PROCESSES='ulimit -u 20'

Перезапускал апач. Смотрел proc/$ID/limits для одного из процессов апача, лимит не работает.

Пробовал в /etc/apache2/envvars писать:

Вопрос - кто это читает. Смотри в стартовый скрипт сначала. Надо найти, как именно запускается процесс httpd, и оттуда уже смотреть. Как это в Дебиане, не знаю, потому только принцип поиска объясняю.