LINUX.ORG.RU
Форум — Admin  

проприетарщина ISPmanager + mod_chroot


0

0

Имеем shared-хостинг
Свыше было сказано, сделать так, что б у пользовательских скриптов не могло быть доступа куда не надо (т.е. к системным файлам, и каталогам, к пользовательским файлам не относящимся).
Оптимальным решением показался mod_chroot, с чрутом в /home/ и сайты вполне себе заработали, но отвалилась к чертям означенная панель управления сервером ISPmanager, запускаемая из под апача. Оно и понятно, как минимум по причине изменения путей, но тупо скопировать каталог с потрохами ISMm в область видимости апача, обратив внимание на актуальность путей, не помогло. А панель нужна, а то никакого хостинга не будет =(.

Есть ли у кого предложения, как можно решить либо общую проблему с безопасностью, либо частную с ISPm?

Заранее благодарен.

← Монтирование части прошивки, -o loop,offset=0x
Вопрос по rsync →

1) запустить второй апач для панели. Всё равно она от рута всё что нужно запускает.

2) каким образом чрут увеличивает безопасность систему? тем что юзер не сможет прочитать какие-то сверхсекретные конфиги? Скорее, это защита от невнимательности админа, но, имхо, овчинка не стоит выделки.

true_admin ★★★★★
()
Ответ на: комментарий от Komintern

Да этот open_basedir сотней способов обходится(и каждый релиз часть дыр залатывают всё что нашлось) и он не работает при использовании cgi и exec. Короче, так себе защита :). Имеет смысл только при правильно выставленных правах и когда cgi-скрипты от другого юзера запускаются(чтобы можно было настроить права так что cgi не мог бы другому юзеру зайти в домашний каталог). Впрочем, у ispmanager с этим всё нормально.

true_admin ★★★★★
()
Ответ на: комментарий от true_admin

> 1) запустить второй апач для панели. Всё равно она от рута всё что нужно запускает.

Да, придётся, видимо, страдать.

>2) каким образом чрут увеличивает безопасность систему? тем что юзер не сможет прочитать какие-то сверхсекретные конфиги? Скорее, это защита от невнимательности админа, но, имхо, овчинка не стоит выделки.

В моём случае ещё как стоит =).

raystlin ★
() автор топика
Ответ на: комментарий от Komintern

>Достаточно указать php_value open_basedir - и юзер ничего выше этого basedir не прочтет :)

php не прочтёт, прочтёт перлом, не говоря уже о том, что, как написали, решето.

raystlin ★
() автор топика
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← Монтирование части прошивки, -o loop,offset=0x
Admin
Вопрос по rsync →