Apache22 + Php security tips

[Sigfrido]

Ciao a tutti,

Sono di fronte ad un problema piuttosto particolare.

Sistema

FreeBSD 8.0
Apache22
Php 5.2.x
PureFTP (per la gestione degli ftp, quindi master uid/gid reale e virtual user per gli utenti)

Ora, tecnicamente vorrei limitare i privilegi di esecuzione degli script php contenuti negli account ftp per evitare attacchi dall'interno dal momento che un codice lesivo potenzialmente potrebbe stealare informazioni o risalire in esecuzione al filesystem.

Sarebbe quindi sensato implementare fastcgi e suExec, ma qui nascono i problemi.

Trattandosi di account ftp virtuali, se implementassi i port di cui sopra, al massimo otterrei che gli script php vengano eseguiti da pureftp:pureftp (uid/gid di PureFTP), il che esclude la possibilità di risalire, in rwx, al di sopra dei path owned by PureFTP (il che metterebbe in "sicurezza" la macchina) ma non evita che uno script .php possa stealare informazioni da un altro path dedicato ad un utente ftp virtuale.

Es.

Path utente virtuale 1
\home\www\dominio1\informazioni (pureftp:pureftp)

Path utente virtuale 2
\home\www\dominio2\script_malevolo.php (pureftp:pureftp)

Gli utenti che possono accedere ai due path sono differenti, PureFTP emula una specie di chroot che evita si possa risalire alla radice ma, poichè l'owner è identico (uid/gid unico reale nel sistema), teoricamente l'utente ftp virtuale 2 potrebbe eseguire codice e "accedere" alle informazioni dell'utente ftp virtuale 1.

Come potrei risolvere?

Eccetto ovviamente usare ftp uid/gid reali e/o cambiare gestore ftp.

Una prima soluzione (parziale) potrebbe essere quella di disabilitare via php.ini, alcune funzioni (disable_functions) poichè il safe_mode è deprecato, non efficiente e comunque verrà rimosso. (ovviamente nei vhosts verrebbe specificata la restrizione open_basedir)

Diciamo:

 disable_functions =
exec,passthru,shell_exec,system,proc_open,popen,curl_exec,curl_multi_exec,parse_ini_file,show_source

Però ovviamente questa soluzione è limitata/limitante.

Altre idee?

[Alex]

open_basedir

[Sigfrido]

l'avevo scritto!

Ma questo comunque non risolve il problema che ho segnalato, ahimé, perchè l'owner è identico dovunque il php venga usato.

[Rebel]

non puoi fare molto. il sistema e' flawed alla base per via degli account ftp virtuali.

[GrG]

Quoto rebel.

L'unica soluzione SICURA sono i chmod, che non puoi usare finchè non hai utenti diversi.