ISPConfig - бесплатная панель для хостинга распространяемая под BSD license.

Еще одна дыра. Причем конкретная! Все дыры в кучу под общим заголовком.

а apache оно в chroot держит ?

а юзеров оно чрутирует ?

Почему под фрю её нет? Что за дискриминация?

>а apache оно в chroot держит ?

>а юзеров оно чрутирует ?

а при чем тут панель?

Воруй не хочу!

2 borisych а чем должна заниматься панель ? разве не хостингом ?

насколько я понимаю панель это интерфейс администрирования хостига .

тоесть она должна уметь добавлять всякие штуки типа виртуалхостов , юзеров и т.д.

так вот дружит ли она например с апачем в чруте . и как она организует разделение юзеров друг от друга ?

например всем известная cpanel не подерживает чрутирование апача , что не есть гуд.

> а apache оно в chroot держит ?

Позволь поинтересоваться, НАХРЕНА чрутить апача?!?

> Позволь поинтересоваться, НАХРЕНА чрутить апача?!?

чтобы кулхацкеры ломанувшие апач обломились

имхо каждый демон нужно запускать в чруте, так безопаснее

хехе, панель должна конфиги правильные создавать, а как там апач работает - не ее забота, а админа. что мешает темплейты поправить?

> имхо каждый демон нужно запускать в чруте, так безопаснее

Про suEXEC внутри апача слышал? Ну ломанут виртуальный хост через дырявый скрипт, толку? Ну получать ограниченые возможности из-под левого юзера. Чрутить нужно только те сервисы, которые из под рута работают. Чрутить сервисы, которые из под обычных юзеров работают - это то, что я зову "извращением".

> чтобы кулхацкеры ломанувшие апач обломились

а у вас на хостинговом сервере кроме апача еще какие-то критичные сервисы запущены?)

> Ну ломанут виртуальный хост через дырявый скрипт, толку?

вот чтобы небыло этого "ну ломанут.." апач пускают в чруте

я не хочу чтобы вообще лазили по системе, пусть даже с ограниченными правами

> а у вас на хостинговом сервере кроме апача еще какие-то критичные сервисы запущены?)

нет, а зачем? ввв на одном, мейл на другом и тд

полностью поддерживаю JB.

>> а у вас на хостинговом сервере кроме апача еще какие-то критичные сервисы запущены?)

> нет, а зачем? ввв на одном, мейл на другом и тд

это я к тому что зачем чрутить, если кроме апача там все равно ничего нету?

а ктото ей пользовался вобще?

> это я к тому что зачем чрутить, если кроме апача там все равно ничего нету?

чтобы было

так что лучше переBSDеть, чем недоBSDеть

Ну и как этот ISPConfig по сравнению с cPanel ?

>так что лучше переBSDеть, чем недоBSDеть

в твоем случае - просто "обосраться"

> это я к тому что зачем чрутить, если кроме апача там все равно ничего нету?

действительно - зачем? Ты в чрут к апачу полсистемы занести должен будешь (чтоб и php и perl было и т.д.).

не на чрут надо смотреть в данном случае, а на vserver (кстати на www.freevps.com очень неплохой fork)

> действительно - зачем? Ты в чрут к апачу полсистемы занести должен будешь (чтоб и php и perl было и т.д.).

да какая разница

главное что саму систему не поимеют, то что в чруте творится ее не заденет никаком образом

>главное что саму систему не поимеют, то что в чруте творится ее не заденет никаком образом

Про какую системы Вы говорите? Которая в чруте или не в чруте?

ЗЫ. Вы наверное поклоник ALTLinux. У них на любой чих - свой чрут.

> Про какую системы Вы говорите? Которая в чруте или не в чруте?

та которая основная, то есть не в чруте

> ЗЫ. Вы наверное поклоник ALTLinux. У них на любой чих - свой чрут.

будешь смеятся, но альт я в гробу видел :) слака рулит

> та которая основная, то есть не в чруте

а чем она в данном случае более ценна, чем та, что в чруте?

> а чем она в данном случае более ценна, чем та, что в чруте?

обьясняю на пальцах ;)

запускаем апач со всеми необходимыми либами в чруте, и вдруг находится кулхацкер который все это ломает

если поломанный апач в чруте то кулхацкер обламывается, даже если он каким то образом сделает rm -rf / грохнется только то что в чруте

если апач запущен без чрута, то все последствия отразятся на реальной системе

> если апач запущен без чрута, то все последствия отразятся на реальной системе

а теперь объясни, какая разница, что ты потеряешь ту систему, что в чруте, и что реальную систему?

> а теперь объясни, какая разница, что ты потеряешь ту систему, что в чруте, и что реальную систему?

как это какая разница?

во-первых в чруте не система, а всего лишь демон и нужные ему либы и конфиги

во-вторых дальше этого самого чрута хацкер не уйдет

без чрута ломанув апач и поимев даже мизерные права, он лехко может получить рутовые через баг в какой нибудь тулзе

в чруте этого просто не произойдет

> вот чтобы небыло этого "ну ломанут.." апач пускают в чруте

Блин. Если ты его зачрутишь, его не ломанут? Ломанут. Если он будет не в чруте, то нанести ущерб взломавший сможет РОВНО столько же, сколько если бы он был в чруте. Не изобретай велосипед.

> так что лучше переBSDеть, чем недоBSDеть

Ни на грамм неперебздеваешь. Не выигрываешь ровным счетом НИЧЕГО. Зато очень сильно проигрываешь в производительности.

> то что в чруте творится ее не заденет никаком образом

Чушь. экслойты так же работают, и заддосить систему одинакого можно, что с чрутом, что без. Ерундой занимаешься.

> если поломанный апач в чруте то кулхацкер обламывается, даже

> если он каким то образом сделает rm -rf / грохнется только то что

>в чруте

Блин, смешной ты человек. Ты сам только что сказал, что ничего кроме www у тебя нет. Значит всё САМОЕ ЦЕННОЕ У ТЕБЯ В ЧРУТЕ!!! Ты сам то осознаешь, что пишешь? :) За чрут надо будет переживать, а не за основную систему, которую снесут - да и хер бы с ней, новую поставить с имиджа - 30 секунд! Вот ты чудак!

> Блин. Если ты его зачрутишь, его не ломанут? Ломанут. Если он будет не в чруте, то нанести ущерб взломавший сможет РОВНО столько же, сколько если бы он был в чруте. Не изобретай велосипед.

для тех кто в танке

запускаем какой нибудь демон в чруте, ломает его сплоитом и получаем шелл, а дальше что? ничего кроме ограниченного списка файлов и каталогов ты не увидишь, даже rm -rf / снесет только чрут

а теперь запускаем демон без чрута, все также ломаем сплоитом и получаем шелл, но теперь ты видишь _всю_ систему и есть шанс получить рута и грохнуть все при помощи rm -rf /

теперь то ты понял нафига нужен чрут?

> Чушь. экслойты так же работают

только вот применить их будет к некому

например все тот же баг в sudo, где ты в чруте найдешь /bin/sudo?

> Блин, смешной ты человек. Ты сам только что сказал, что ничего кроме www у тебя нет. Значит всё САМОЕ ЦЕННОЕ У ТЕБЯ В ЧРУТЕ!!!

про бекапы ты ничего не слышал? ;)

> За чрут надо будет переживать, а не за основную систему, которую снесут - да и хер бы с ней, новую поставить с имиджа - 30 секунд!

проще грохнуть апач в чруте, вернуть бекапы на место и снова запустить апач

> Ты сам только что сказал, что ничего кроме www у тебя нет

это у меня под каждую задачу свой сервер, но не у всех

а у меня в chroot rm нет , и либ нет которые ему нужны . далее каждый юзер который имеет cgi скрипты , запускает их через cgi wrapper sbox который так-же создает chroot окружение для них.

далее , поимев систему не самое страшное rm -rf / гораздо страшнее если воткнут какой-нить модуль для кернела , подчистят логи , а потом возможно постараются поиметь другие системы ( я говорю об ISP ) , дальше можно придумать что угодно.

помоему глупо держать систему которая дает запускать юзерам cgi скрипты , без таких мер предосторожностей .

> а у меня в chroot rm нет , и либ нет которые ему нужны

perl есть? php есть? sh есть? Этого достаточно. Нет? В П*зду такой хостинг :)

> это у меня под каждую задачу свой сервер, но не у всех

Ну! Правильно. Чудак человек, ты почему-то основную систему ценишь выше, хотя самое ценное у тебя в чруте. Теперь ты понял, что для тебя, у кого кроме www ничего нет, тем более чрут нафиг не нужен :)

> например все тот же баг в sudo, где ты в чруте найдешь > /bin/sudo?

во первых чтобы заддосить машину, нужно просто запустить бинарь или скрипт, который юзает уязвимость. Да и в самом чруте дыры тоже находили...

> для тех кто в танке

> запускаем какой нибудь демон в чруте, ломает его сплоитом и получаем шелл, а дальше что? ничего кроме ограниченного списка файлов и каталогов ты не увидишь, даже rm -rf / снесет только чрут

> а теперь запускаем демон без чрута, все также ломаем сплоитом и получаем шелл, но теперь ты видишь _всю_ систему и есть шанс получить рута и грохнуть все при помощи rm -rf /

> теперь то ты понял нафига нужен чрут?

Для тебя танкиста офъясняю. Если поиметь права root то чрут это или не чрут уже не важно. Поищи в гугле. Имея права root'а из чрута выходится без особых усилий. Уже описана эта технология вдоль и поперек.

> про бекапы ты ничего не слышал? ;)

Вот и я про то. Чрут тем более не нужен :) Ведь помимо апача в чруте у тебя и странички юзеров? Т.е. самое ценное :)

> Теперь ты понял, что для тебя, у кого кроме www ничего нет, тем более чрут нафиг не нужен :)

ну если на сервере кроме одного одинокого демона ничего не крутится чрут вообщем то и не нужен

просто я не себя имел ввиду, а вообще ;) если демонов больше двух, то чрут необходим

Дыры прежде всего существуют в гловах. Для тех у кого там есть мозги - дыры в софте не страшны.

Оно в сорцах. Надо? Допиши. Не можешь? Плати тому кто допишет. Это - свободный софт.

> Ведь помимо апача в чруте у тебя и странички юзеров? Т.е. самое ценное :)

нет, там корпоративный сайт и всякая чушь

если это все сдохнет я плакать не буду ;)

Свяжись с разработчиком и займись адаптацией под фрю.

а дял аквалангистов советую поискать в гугле инфу на тему монохренственноог имения прав рута в чруте ибо давно уже все пофиксено, а при грамотно настроенном чруте...... вобщем сначала поработали на поддержки шаред хостинга а то в лужу пукакаете...

ок, почитаю

Панель не "должна", панель "может". cpanel не поддерживает чрут, ибо никому не нужно. VPS рулит. Нарезаем сервер на куски и в каждый ставим cpanel.

Для западных юзеров нормально, для наших - нет. Ибо русского интерфейса нет.