Re: Directorio Ejecutable
Hi yo tambien uso esa clase de magpierss para un proyecto (http://www.ofrenda.com.mx), es raro lo que comentas por que yo lo he ejecutado sin necesidad de que tenga permisos de ejecución. Ricardo La Rosa wrote: Tengo una duda de seguridad que es la siguiente: Estoy realizando un site, a cual le integre un parser rss para php llamado magpierss (http://magpierss.sourceforge.net http://magpierss.sourceforge.net), dicho parser requiere que un directorio dentro del Document root sea ejecutable, eso no compremeterá la seguridad de mi web server?, permitiendo la ejecucíon de algún script malicioso? Gracias de Antemano. Saludos -- Ricardo La Rosa GNU/Linux Registered User N# 354858 Running Debian 3.1 (Etch) - Kernel 2.6.8-2-686 http://ricardolr.blogspot.com/ -- hechando a perder se aprende Debian Etch tuxsoul 2.6.12-1-686 2005 i686 GNU/Linux Intel Celeron (Coppermine) stepping 06 http://mx.dolric.com http://mx.tuxsoul.com --BEGIN GEEK CODE BLOCK- Version: 3.12 GCS d? s: a? C+++ UL+++ P+ L++ E--- W++ N+ o K- w++ O-- M V- PS PE Y PGP++ t++ 5 X+++ R* tv++ b- DI+++ D G++ e- h++ !r !z ---END GEEK CODE BLOCK-- --BEGIN BLOGGER CODE BLOCK B5 d t++ k+ s++ u-- f- i++ o+ x-- e l++ c+ ---END BLOGGER CODE BLOCK-
Re: Directorio Ejecutable
Gracias por sus respuestas, lo que he hecho es lo siguiente: Mi Document root esta en /var/www/ y el propietario de la carpeta es root y el directorio pertenece al grupo www-data y solo le he dado permiso de ejecución y escritura al propietario y al grupo. Creo que con eso es suficiente. Saludos y muchas gracias.-- Ricardo La RosaGNU/Linux Registered User N#354858Running Debian 3.1 (Etch) - Kernel 2.6.8-2-686http://ricardolr.blogspot.com/
Directorio Ejecutable
Tengo una duda de seguridad que es la siguiente: Estoy realizando un site, a cual le integre un parser rss para php llamado magpierss (http://magpierss.sourceforge.net ), dicho parser requiere que un directorio dentro del Document root sea ejecutable, eso no compremeterá la seguridad de mi web server?, permitiendo la ejecucíon de algún script malicioso? Gracias de Antemano. Saludos-- Ricardo La RosaGNU/Linux Registered User N#354858Running Debian 3.1 (Etch) - Kernel 2.6.8-2-686http://ricardolr.blogspot.com/
Re: Directorio Ejecutable
--- Ricardo La Rosa [EMAIL PROTECTED] escribió: Tengo una duda de seguridad que es la siguiente: Estoy realizando un site, a cual le integre un parser rss para php llamado magpierss (http://magpierss.sourceforge.net), dicho parser requiere que un directorio dentro del Document root sea ejecutable, eso no compremeterá la seguridad de mi web server?, permitiendo la ejecucíon de algún script malicioso? Gracias de Antemano. Saludos -- Ricardo La Rosa GNU/Linux Registered User N# 354858 Running Debian 3.1 (Etch) - Kernel 2.6.8-2-686 http://ricardolr.blogspot.com/ Cordial saludo. En principio puede ser, pero lo que debe hacer, es dar sólo los permisos suficientes al directorio como para que sólo sea usado por la aplicación. Por lo general el Document root está en el directorio /www y de ahí para abajo, entonces no está demás asegurarnos que el resto sólo tenga los permisos correpondientes a sólo los usuarios del sistema y no cualesquiera.. Si está hecho así, probablemente no haya problemas. Acuérdese que los permisos son la clave para la seguridad y la inseguridad. Osea que su ejecutable no debe ejecutarse con permisos de root. Felicidades. E.E.F.J. [EMAIL PROTECTED] __ Correo Yahoo! Espacio para todos tus mensajes, antivirus y antispam ¡gratis! Regístrate ya - http://correo.espanol.yahoo.com/ -- To UNSUBSCRIBE, email to [EMAIL PROTECTED] with a subject of unsubscribe. Trouble? Contact [EMAIL PROTECTED]
Re: Directorio Ejecutable
Cordial saludo.En principio puede ser, pero lo que debe hacer,es dar sólo los permisos suficientes al directorio comopara que sólo sea usado por la aplicación.Por lo general el Document root está en eldirectorio/www y de ahí para abajo, entonces no está demásasegurarnosque el resto sólo tenga los permisos correpondientes a sólolos usuarios del sistema y no cualesquiera..Si está hecho así, probablemente no haya problemas.Acuérdese que los permisos son la clave para laseguridady la inseguridad. Osea que su ejecutable no debe ejecutarsecon permisos de root.Felicidades. Gracias por tu respuesta, lo que he hecho es lo siguiente: Mi Document root esta en /var/www/ y el propietario de la carpeta es root y pertenece al grupo www-data y solo le he dado permiso de ejecución al propietario y al grupo. Es una solución segura?. Saludos y muchas gracias.
Re: Directorio Ejecutable
El Viernes, 27 de Enero de 2006 03:00, Ricardo La Rosa escribió: Tengo una duda de seguridad que es la siguiente: Estoy realizando un site, a cual le integre un parser rss para php llamado magpierss (http://magpierss.sourceforge.net), dicho parser requiere que un directorio dentro del Document root sea ejecutable, eso no compremeterá la seguridad de mi web server?, permitiendo la ejecucíon de algún script malicioso? Gracias de Antemano. Saludos Que un directorio sea ejecutable no tiene NADA que ver con que se permita ejecutar scripts que contenga. Esto último dependerá de los permisos de dichos scripts. Que un directorio sea ejecutable (marca X) para un usuario significa que dicho usuario puede meterse en él y acceder a archivos que contenga. Si además el directorio es leíble (marca R) para ese usuario, entonces ese usuario podrá hacer un ls y ver los archivos contenidos. Que un directorio tenga X pero no R puede ser adecuado para un directorio de un servidor web, ya que impides que de un plumazo vean todos el listado de archivos que contiene, aunque sí que podrían verlos uno a uno si escriben el nombre de fichero correcto (pero tendrán que adivinarlo o saberlo de antemano). Haz la prueba: - mkdir DIR - touch DIR/file1 - touch DIR/file2 - echo Texto DIR/file1 - chmod a-r DIR - ls -l DIR (para ver los permisos que tiene ahora) - cd DIR - ls -- Permiso denegado. - cat file1 -- Texto. -- y hasta aquí puedo leer...
Re: Directorio Ejecutable
--- Ricardo La Rosa [EMAIL PROTECTED] escribió: Cordial saludo. En principio puede ser, pero lo que debe hacer, es dar sólo los permisos suficientes al directorio como para que sólo sea usado por la aplicación. Por lo general el Document root está en el directorio /www y de ahí para abajo, entonces no está demás asegurarnos que el resto sólo tenga los permisos correpondientes a sólo los usuarios del sistema y no cualesquiera.. Si está hecho así, probablemente no haya problemas. Acuérdese que los permisos son la clave para la seguridad y la inseguridad. Osea que su ejecutable no debe ejecutarse con permisos de root. Felicidades. Gracias por tu respuesta, lo que he hecho es lo siguiente: Mi Document root esta en /var/www/ y el propietario de la carpeta es root y pertenece al grupo www-data y solo le he dado permiso de ejecución al propietario y al grupo. Es una solución segura?. Saludos y muchas gracias. -- Ricardo La Rosa GNU/Linux Registered User N# 354858 Running Debian 3.1 (Etch) - Kernel 2.6.8-2-686 http://ricardolr.blogspot.com/ Cordial saludo. En principio sí, desde que no sea el root. Claro que si no está seguro de su sistema, entonces puede usar Tripwire o HOBGOBLIN como herramienta para comprobar la integridad de los archivos. También puede usar TAMU, que es una herramienta para resolver varios problemas de seguridad, además busca troyanos, e incluye monitor de red y filtro de paquetes. Uno interesante es trojan.pl que comprueba los permisos de los archivos en rutas que se consideren inseguras como para sufrir algún ataque de troyanos etc. Y claro que de aquí en adelante todo lo que ud. quiera para seguridad y probablemente no cabe en éste correo. Felicidades. E.E.F.J. [EMAIL PROTECTED] __ Correo Yahoo! Espacio para todos tus mensajes, antivirus y antispam ¡gratis! Regístrate ya - http://correo.espanol.yahoo.com/ -- To UNSUBSCRIBE, email to [EMAIL PROTECTED] with a subject of unsubscribe. Trouble? Contact [EMAIL PROTECTED]
