Vlákno názorů k článku Nebezpečné webhostingy od remcal - IMHO bezpecnost se nema podcenovat... a tak si na...
-
remcal (neregistrovaný)IMHO bezpecnost se nema podcenovat...
a tak si na server naplacam suhosin, zapnu open_base dir, zapnu safe mode, zapnu tam to.. zakazu tamto, allow_furl_open...
A k cemu to?
Kdyz stejnak nejvetsi dira je to samotne PHP?
Po netu behaji tuny "exploitu" na bypass open_basedir direktivy (zatim jsem sledoval jen do verze php 5.2.6).
Mel jsem moznost studovat par "privatnich" php shellu a clovek se divi co vsechno jde :/.
Upgradovat casto php? Jo to si clovek muze dovolit na freehostingu, ale prekopat neco komercniho cez noc kde se treba na konktretni verzi php spoleha (rozdil mezi minor verzemi php jsou nekdy az prilis velke) to uz je o drzku a pokud se neco ptentuje tak to moc k dobremu jmenu nepomuze.
Samozrejme ze neodsuzuji alespon zakladni nastaveni, ale v pripade php (presneji open_basedir) mi to prijde jako falesny pocit sucha, cistoty a bezpeci...
Jinak clanek... no nevim nevim.. prijde mi to jak reklama na penetracni testy :/. -
remcal (neregistrovaný)Ano to jsem psal :). Nechavat server kompletne bez nastaveni, to si primo koleduje :).
Nicmene skoro denne resim pozadavky uzivatelu na vypnuti safe_mode, z duvodu ze to nektere mainstream aplikace vyzaduji. Nekdy jsou i uzivatele vydeseni kdyz na ne bafne ze na serveru bezi suhosin...
ad hackeri: neberte to osobne, ale soom.cz se takto vyprofiloval uz pred dlouhou dobou :/ (to hrani na hackery). -
haskell (neregistrovaný)Vazeny pane, neda mi to nezareagovat na Vas prispevek, o bezpecnosti toto evidentne moc nevite. Vite vubec, co dela safe_mod? Popravde bych o tom velice pochyboval. Na spravne nastavenem webhostingovem serveru safe mode off je uplne to same jako safe mode on! nema to ZADNY efekt, proto je docela nesmysl tvrdit, ze spravne napsana aplikace pracuje i se safe modem. Podivejte se, reknete mi, v cem Vas safe mod omezuje? Safe mod mi pride jako totalni nesmysl bez jakehokoliv praktickeho vyznamu, na svych serverech jej mam sice zapnuty a nemam jediny duvod jej vypinat ani zapinat. Jakmile se na nekterem z webhostingu diskutuje o safe modu, tak pric odtud, spravci sou lamy.
-
S tim, ze je PHP pomerne dost derave, souhlasim. To ale neznamena, ze neni potreba jmenovane direktivy nastavit spravne a utocnikum jejich cinnost usnadnovat. Predstavte si napr. analogii s operacnim sysemem Windows.
O php shellech se zminuje zaverecny dil.
Na komplikace s upgradem na vetsich webhostinzich jsem upozornoval primo v tomto clanku. Uzivatele jsou ponekud nevdecnymi zakazniky. Vypadky zpusobuji casto prave upgrady na novejsi a bezpecnejsi verze, coz si neuvedomuji, nebot jedine, ceho si vsimli, je jejich nefunkcni prezentace.
S tou zminkou o reklame je to tezke. Sam vidite, ze pokud nekdo napise clanek na podobne tema, automaticky je zesmesnovan, ze si hraje na hackera, at byl jeho zamer jakykoliv. Stejne je to i s penetracnimi testy. Ty jsou potreba a proto to ctenarum pripominam. Fakt, ze je i ja sam provadim je podle meho nazoru logicky, jinak bych totiz takovy serial jen stezi mohl vytvorit. -
Pokud je ta aplikace napsana profesionalnim zpusobem, direktivu safe_mode by vypnutou vyzadovat nemela, i kdyz to mi dva asi neovlivnime =)
Za suhosin patch by meli byt zakaznici vdecni, rovnez o nem se zminuje zaverecny dil.
Osobne to v zadnem pripade neberu, jen mi prijde smesne ohanet se kdekoliv zazni muj nick portalem SOOM.cz. Navic se jedna o komunitni portal a ja nejsem jejich mama. Pokud si tam nekdo hraje na hackery, je to jeho vec, urazet kvuli tomu moji osobu mi prijde ale prinejmensim ubohe.
ČLÁNKY DO MAILU