UsersWiki バックアップ : [nao-pon/blog/2013-08-30のソース]

差分を表示
nao-pon/blog/2013-08-30 へ行く。

#navi
RIGHT:&rsslink(../);
#boxdate

* 今回のロリポ騒動で感じたこと [#gf7c6cc7]
RIGHT:&tag(Web,セキュリティ,共有サーバー);

- [[当社サービス「ロリポップ！レンタルサーバー」ユーザーサイトへの第三者による大規模攻撃について / 新着情報 / お知らせ - レンタルサーバーならロリポップ！:http://lolipop.jp/info/news/4149/]]

今回のロリポ騒動で感じたことは、共有サーバーでのパーミッション設定は注意が必要だということです。
XOOPS の mainfile.php のパーミッションは、できれば 0400 、 0400 で動かなければ 0404 、それでも動かなければ 0444 ということになります。

X-update の一般設定の「書き込み可ファイル パーミッション」と「書き込み可ディレクトリ パーミッション」も同様です。
それぞれ 0600, 0606, 0666 と 0700, 0707, 0777 と先から順に試してできるだけ厳しいパーミッションにすべきだと思います。

** 共有サーバーで mainfile.php の 0444 がなぜ危険なのか？ [#dcd7ec6a]

とあるサーバー「A」は複数のユーザーで共有しているサーバーです。
そのサーバーは PHP がユーザー権限で動きます。
そのサーバー上のすべてのユーザーは同一グループに所属しています。

mainfile.php をパーミッション 0444 で設置しました。

このサーバー「A」上では、すべてのユーザーの任意のPHPスクリプトから mainfile.php の内容を読むことができます。

といった感じです。

XOOPS の mainfile.php に何が記載されているか知らない方は、FTP で mainfile.php をダウンロードして、内容を確認してください。

私は、素人なのでこの内容が間違っている可能性もあります。間違いがありましたら、随時ご指摘ください。

** シンボリックリンクによる脆弱性 [#o19922a8]

RIGHT:2013-08-31 (土) 01:27:12 追記

共有サーバーでは、こういった問題を防ぐため open_basedir で、PHP が読み込めるディレクトリをユーザーディレクトリ以下に制限している場合がほとんどだと思います。

しかし、Apache の設定によっては、シンボリックリンクを使い、読み込み可能な位置まで仮想的に移動して、読み可能とすることが可能です。

そのような設定であるならアウトですね。

:参考リンク|
-[[Apache symlink security issue fix/patch - whmscripts:http://whmscripts.net/misc/2013/apache-symlink-security-issue-fixpatch/]]

** 要するに [#r2087d3a]

X-update の一般設定を次のように設定することを強くお勧めします。
※ .php パーミッションについては、各サーバーのマニュアルをよく読み、マニュアルに記載がある場合は、そちらを指定して下さい。

|TLEFT:||c
|>|mainfile.php が 0400 で動くサーバーの場合|h
|~書き込み可ファイル パーミッション|600|
|~書き込み可ディレクトリ パーミッション|700|
|~.php パーミッション※|600|

|TLEFT:||c
|>|mainfile.php が 0404 で動くサーバーの場合|h
|~書き込み可ファイル パーミッション|606|
|~書き込み可ディレクトリ パーミッション|707|
|~.php パーミッション※|604|

|TLEFT:||c
|>|mainfile.php が 0444 でしか動かないサーバーの場合|h
|~書き込み可ファイル パーミッション|666|
|~書き込み可ディレクトリ パーミッション|777|
|~.php パーミッション※|644|

RIGHT:&font(90%){&page_comments;};
#navi

« Prev

nao-pon/blog/2013-08-30 のバックアップ一覧
nao-pon/blog/2013-08-30 のバックアップソース(No. All)
- 1: 2013-08-30 (金) 09:57:01 nao-pon
- 現: 2013-08-31 (土) 01:27:12 nao-pon
  - シンボリックリンクによる脆弱性

ぺージ情報
ぺージ名 :	nao-pon/blog/2013-08-30
ページ別名 :	未設定
ページオーナー :	nao-pon
閲覧可
グループ :	すべての訪問者
ユーザー :	すべての訪問者
編集可
グループ :	なし
ユーザー :	ゲスト