关于虚拟主机部署中的安全问题，大家进来讨论讨论？

renothing · 发表于 2010-10-12 16:22:56

现在很多linux虚拟主机商，都会开通shell权限给用户，方便管理，但是这样一来也带来了巨大的安全问题。先说说运行环境，Apache(suexec+fcgid)+php+mysql，所有用户均有shell权限。

默认情况下，一旦某个站点存在漏洞或者某位用户心存不轨，同服务器站点数据很容易被窃取。以下为例：
A,B站点同属服务器C。
比如A站点的用户发现B站点有漏洞，爆出了物理路径，但无法注入无法取得上传权限。
默认情况下，网站文件一般权限都会设置权限至少755，则漏洞就会产生（若设置成751，则html等静态文件无法读取，711会造成无法列举目录内文件，无法找到首页）。

A用户在得到了B站点的路径的情况下，完全可以通过shell登录窃取到B站点的机密配置文件如config.php等，从而窃取到B的数据库资料。

当然有一个办法，能避免文件被窃取。目录设置为755，动态文件设置为751/711/600(不给其他用户读的权限)，静态文件设置成604/644

但这样做是无比的麻烦。。。

后继：通过配置ACL权限，额外分配给Apache运行用户读取和执行权限，并结合上述设置，能杜绝掉跨站攻击，而只需要设置目录或者文件权限为750即可。cgi(php)程序文件的权限可设置为600或400也能照常运行。但目录必须至少为750才能保证程序正常运行。

额，我的环境为前端nginx,后端apache跑php，所以额外分配了2个权限。

dakai · 发表于 2010-10-12 16:25:18

我这占座看楼下怎么说

组长 · 发表于 2010-10-12 16:25:47

最安全的方法是不给 SSH

wzlm123 · 发表于 2010-10-12 16:26:24

不知道国外的主机商怎么解决的? 可以参考!

renothing · 发表于 2010-10-12 16:26:56

不给ssh，那就失去了一大特色。。。ssh管理起来相当方便。

renothing · 发表于 2010-10-12 16:29:21

不给ssh的话，如果不搭配ACL, Mysql里面有一个函数load_file()，照样可能跨站攻击。

renothing · 发表于 2010-10-12 16:31:38

国外貌似一般都启用了ACL，并且搭配了更加安全的grsecurity内核补丁，配合Jailkit。普通用户只能看到自己的进程，只能在特定目录玩，只能特定的命令。

组长 · 发表于 2010-10-12 16:32:48

原帖由 renothing 于 2010-10-12 16:29 发表
不给ssh的话，如果不搭配ACL, Mysql里面有一个函数load_file()，照样可能跨站攻击。

给各大不给SSH的IDC主机商讨论吧
当然也有默认开放SSH 权限的主机商比如site5

renothing · 发表于 2010-10-12 16:34:58

site5不安全，我已经试验过了，虽然有grsecurity补丁，但他们没有启用acl。

zrdlrofmine · 发表于 2010-10-12 16:35:18

那你可以考虑ACL

		自动登录	找回密码
密码			注册

[经验] 关于虚拟主机部署中的安全问题，大家进来讨论讨论？

回复 3# 的帖子

回复 8# 的帖子