At 20:12 1/15/00 +0700, you wrote:
>Bila kita jalankan php sebagai module apache, ada beberapa security hole:
>- karena sama2 ber-UID nobody bisa menintervensi data punya user lain yang
>hosting disana.
di mod_perl guide juga dibahas masalah ini (http://perl.apache.org/guide/,
bagian virtual hosting). secara umum solusi terbaiknya ada 2: tiap user
diberi httpd sendiri, dan co-location. tapi tentu ngga semua orang bisa
mempraktekkannya.
kalo ide saya mungkin, jika ada akses ke API Apache (misalnya lewat mod_perl),
mungkin bisa dengan start httpd child sebagai root (!) lalu di phase sebelum
content generation (mis, di fixup phase), setuid ke user yang sesuai dengan
owner file yang hendak dieksekusi. (tapi sangat bahaya menjalankan httpd
child sebagai root :-p)
>- dapat menampilkan /etc/passwd, gak masalah sih kalau di shadow. Tetapi
>setidaknya tahu siapa saja user yang ada disitu.
>Cara pencegahannya dengan mengaktifkan php3_safe_mode dan
>php3_open_basedir ./ . Biar gak kemana-mana. Lalu diset di httpd.conf agar
>tidak semua bisa mengakses php3 ini. Bisa dibaca deh di notesnya
>http://www.php.net/manual/security.apache.php3
>Soal cat /etc/passwd ternyata juga bisa terjadi di php sebagai CGI :-).
kalo yang ini ngga specific CGI/apache module/PHP, melainkan
semua kode yang dijalankan oleh webserver, karena /etc/passwd
world-readable. di php memang enak, ada safe mode. kalo yang
lain hendak mencegah, mungkin, barangkali bisa pake chroot di
phase sebelum content generation? tapi saya belum pernah
coba...
> --
>[EMAIL PROTECTED], @ThePentagon.com, @geocities.com
>http://jupiter.centrin.net.id/~erganov/ http://www.cryogen.com/erganov/
>Join to Indonesia Linux User Group at
>http://clubs.yahoo.com/clubs/indonesialinuxusergroup
--
Steven Haryanto <[EMAIL PROTECTED]>
-=== FREE Handphone @ http://www.indoglobal.com/dedicated.php3 ===-
To unsubscribe, e-mail : [EMAIL PROTECTED]
To subscribe, e-mail : [EMAIL PROTECTED]
Netika BerInternet : [EMAIL PROTECTED]
