توجه ! این یک نسخه آرشیو شده میباشد و در این حالت شما عکسی را مشاهده نمیکنید برای مشاهده کامل متن و عکسها بر روی لینک مقابل کلیک کنید : خطر در etc/passwd
Arte
January 3rd, 2011, 13:17
با سلام خدمت عزیزانم ;;)
در این فیلم که امروز آماده کردم قصدم به مدیران هاستینگ ها هست که فکر میکنن با یکم منیج مختصر سرور از حملات در امانن .
توی فیلم در مورد etc/passwc توضیح مختصری دادم که با اجازه از اساتید فروم و خیلی از عزیزانی که استاد هستند این فیلم رو قرار میدم تا یکم دوستانی که تازه به فروش و هاستینگ روی آوردن هشیار باشند .
موفق باشید .
Arte
January 3rd, 2011, 13:51
اینم بگم به دوستان که بد نیست همین حالا به فکر base امنیت باشیم نه حواشی آن امروزه دیگه با safe mod و بستن چند تا فانکشن نمیشه از حملات جلوگیری کرد روز به روز متد های جدید میاد و با یک bypass ساده از سد خیلی مسائل میشه به راحتی عبور کرد .
Online24
January 3rd, 2011, 14:01
ممنون از Arte عزیز که با فعالیت مفیدشون به همه ی ما سود میرسونن !
یک توضیح مختصری بدم :
در مورد etc/passwd زیاد بحث شده و خیلی ها این رو یک مشکل امنیتی میدونند ( که البته دسترسی به این فایل مشکلاتی ایجاد میکند )
اما ماهیت این فایل World readable است ! به معنای اینکه پرمیشن Read به تمام کاربران آن سیستم داده شده است .
چرا که بسیاری از پروسه های کاربران مبتنی بر این فایل است و اکثر پروسه ها نیم نگاهی به این فایل حتما خواهند داشت ! ( اگر readable نباشد مشکلات بسیار بسیار زیادی بوجود میاید ! طوری که بسیاری از ابزارها و پروسه ها از کار باز میمانند ! )
البته خواندن این فایل زمانی مشکل ساز بود که password های کاربران هم در این فایل ( البته به صورت hash ) ذخیره میشد و امکان بروز مشکلاتی بوجود میامد .
که این نقیصه به سرعت برطرف شد و پسورد های کاربران به فایل /etc/shadow که یک فایل فقط خواندنی برای root است منتقل شد .
پس به هیچ وجه عجیب نیست که کاربرانی که Shell از سیستم های لینوکسی شما دارند توانایی خواندن این فایل را داشته باشند ! ( چرا که ماهیت این فایل world readable است )
در فایل /etc/passwd قلم های اطلاعاتی زیر موجود است :
username
password:
که اگر X باشد به معنی آن است که password ها در /etc/shadow نگه داری میشوند .
userid
groupid
path of home directory
command or path of shell
پس همانطور که ذکر شد ، قلم های اطلاعاتی فوق ( اگر password در آن موجود نباشد ! ) در صورتی که امنیت account ها حفظ شده باشد ( با اجرای policy های صحیح ) خواندن این فایل آنچنان هم خطرناک نیست .
ولی ممکن نیست که کسی قصد خرابکاری داشته باشد و به این فایل نگاهی نیاندازد
( چون برای ادامه خرابکاری به اطلاعات این فایل نیاز خواهد داشت . )
پس باید امنیت رو در سطح کاربران حفظ کنید !
the_coder
January 3rd, 2011, 14:55
خوب به گفته خود شما خیلیا این ضعف رو میدونن .
اما راه حل این مشکل چیه؟ توی فروم گشتم چیزی پیدا نکردم
Talahost.Com
January 3rd, 2011, 15:14
همانطور که online24 فرمودند، این یک ضعف یا مشکل نیست.
the_coder
January 3rd, 2011, 15:18
حرف شما درست اما بالاخره باید یک راهی برای محدود کردن این راه باشه - اگر میشه راه حلش رو توضیح بدید
اینجوری که به یکی هاست بدیم میاد میزنه و میره
Arte
January 3rd, 2011, 16:33
بله همون طور که علیرضا جان گفتن اگه محدوده ی uid و gid هم که در اینجا به apache ختم شده را به خود یک یوزر محدود کنیم خیلی امنیت بهتری میتونیم داشته باشیم .
---------- Post added at 04:33 PM ---------- Previous post was at 04:33 PM ----------
حرف شما درست اما بالاخره باید یک راهی برای محدود کردن این راه باشه - اگر میشه راه حلش رو توضیح بدید
اینجوری که به یکی هاست بدیم میاد میزنه و میره
online24 گفت دیگه داستان چیه ...
قبلا هم بحث شده search کن .
the_coder
January 3rd, 2011, 16:41
پیدا نکردم اگر لینکشو شما دارید بزارید ممنون میشم
Arte
January 3rd, 2011, 18:58
پیدا نکردم اگر لینکشو شما دارید بزارید ممنون میشم
http://www.webhostingtalk.ir/f10/632/
---------- Post added at 06:58 PM ---------- Previous post was at 05:48 PM ----------
تو گوگل هم میتونید جستجو کنید ...
asrehosting
January 9th, 2011, 11:14
سلام
من متوجه نشدم اگر جلوی این فایل گرفته بشه کاربران به مشکل بر می خورن ؟
و ما اگر دسترسی کاربران رو به شل ببندیم مشکل حل میشه ؟
در مورد اون عکس هم من متوجه نشدم باید دسترسی هر کاربر رو به سایت خودش رو بریم داخل اون فایل آی پی کاربر رو بزنیم که فقط اون دسترسی داشته باشه یا این قضیه مربوط به مدیر کل میشه ؟
میشه یه توضیحی بدید ؟
abolfazlgoodarzi
January 1st, 2012, 21:04
سلام
من متوجه نشدم اگر جلوی این فایل گرفته بشه کاربران به مشکل بر می خورن ؟
و ما اگر دسترسی کاربران رو به شل ببندیم مشکل حل میشه ؟
در مورد اون عکس هم من متوجه نشدم باید دسترسی هر کاربر رو به سایت خودش رو بریم داخل اون فایل آی پی کاربر رو بزنیم که فقط اون دسترسی داشته باشه یا این قضیه مربوط به مدیر کل میشه ؟
میشه یه توضیحی بدید ؟
بله با بسته شدن این فایل کاربران با مشکل رو برو می شند.
اون تصویر مربوط به خط کدی توی php.iniبود که که باعث میشه بعضی از توابع کار نکنند و عموما مفید هستش.
armintanha
January 1st, 2012, 21:19
بله با بسته شدن این فایل کاربران با مشکل رو برو می شند.
اون تصویر مربوط به خط کدی توی php.iniبود که که باعث میشه بعضی از توابع کار نکنند و عموما مفید هستش.
تاریخ : January 9th, 2011
به انجمن خوش اومدی http://www.webhostingtalk.ir/f2/1591/