ارسال کنید بنده برای آقای مسافر ارسال میکنمنقل قول:
نوشته اصلی توسط secureconfig
هیچ چیز صدرصد نیست .
نمایش نسخه قابل چاپ
ارسال کنید بنده برای آقای مسافر ارسال میکنمنقل قول:
نوشته اصلی توسط secureconfig
هیچ چیز صدرصد نیست .
بنده نگفتم 100٪ هست ! گفتم بدون محدودیت هم میشه ایمن کرد ! :)نقل قول:
نوشته اصلی توسط Yas-Host
لینک شل را پ.خ کردم.
موفق باشید./
ایمن بودن فقط به symlink نیست!نقل قول:
نوشته اصلی توسط secureconfig
/tmp سرور شما (همان شلی که به من دادید) کمتر از 5 دقیقه 18 گیگابایت پر شد!
باقی پارتیشن هاتون هم همینطور:)
اگر بنده ساعت 1 شب اقدام به اینکار کنم کاربران شما تا ساعت 6 صبح دارای اختلال هستند!
mysql از کار میافتد!
در چند دقیقه با استفاده از cgi توانستم 18 گیگابایت فضای tmp سرور شما را پر کنم!!! با wget :)
چند وقت پیش در یکی از تاپیک ها در مورد php بحث میکردیم که رضا شیخله اعلام کردند امنیت را فقط symlink میبنم و واقعا راست می گفتند!
در ضمن چرا شل را حذف کردید ؟!!!
:)
یعنی به همین زودی اقای مسافر دارند بر روی سرور بنده کار میکنند ؟!
جالب نیست به اسم فرد دیگری دسترسی بگیرید !
htaccess. جالی نوشتید ،
deny from all
allow from 151.239.152.110
و احتمالا قصد مجازی کردن سرور بنده را دارید چون iso سنتوس 6.6 در حال دانلود هست :)
و فکر میکنم بشه با webroot-v2.php و sym/ به سرور نقود کرد !
فکر میکنم بیشتر قصد دارید سرور داون شود تا نفوذ ! پر کردن tmp/ مشکلی ایجاد نمیکند :)
خیر . هنوز بنده بهشون اصلا اطلاع ندادم و فکر میکنم احتمال اینکه قبول کنند کم هست چون هزینه میگیرند.نقل قول:
نوشته اصلی توسط secureconfig
من تست نفوذ انجام ندادم و نمیدهم فقط میخواستم بهتون ثابت کنم امنیت فقط به symlink نیست! به جلوگیری از ایجاد اختلال هم وابسته هست.
تاپیک انحراف پیدا کرد .
افزایش حجم tmp مشکلی ایجاد نمیکند و برای mysql هم مشکلی ایجاد نمیشود :)نقل قول:
نوشته اصلی توسط Yas-Host
پس اسکریپت /scripts/securetmp اینجا نخودی هست ؟:ینقل قول:
نوشته اصلی توسط elementary
اگر tmp پر شد اسکریپت ها لوگین نمی شود! phpmyadmin نمیتواند وارد شود و seesion ایجاد کنند
عملا سرور فلج می شود . همین دیروز بود tmp پر شده بود که باعث دان شدن mysql شده بود !! tmp هم از inode پر شده بود
http://bugs.mysql.com/bug.php?id=69926
http://www.vbulletin.com/forum/forum...g-tmp-stmglp0p
فقط کافی هست عبارت /tmp 100% full mysql crashed رو سرچ کنید
البته این را عرض کنم که شاید شما تجربه این را نداشته باشید یا tmp پر شده باشد اما سرویس mysql دان نشده باشد ( نظر شخصی هست )
خیلی جالب هست بعد از اینکه تاپیک 15 ساله بودن جناب secureconfig رو دیدم که جناب سجنری در همه جا قصد بردن ابروی ایشون رو داشتن این بحث اینجا درست شد !
1.عزیز پوشه tmp سرور رو شما پر کنید برای mysql مشکلی ایجاد نمیشه بلکه اگر سرور ریبوت بشه موقع بوت شدن ممکنه مشکلی ایجاد بشه در ضمن شما از کجا میدونید ایشون از پوشه tmp برای کش کردن استفاده کردند ؟! ایشون خیلی راحت ممکنه یک پوشه دیگر ساخته باشند - نکنه منظورتون از اینکه امنیت جلوگیری از اختلال هم هست اینه که بیایند دسترسی به این پوشه را از کاربر بگیرند ؟! عزیز این پوشه باید قابل دسترسی توسط کاربر باشه اما همونطور که الان شما قصد خرابکاری داشتید اگر کاربری قصد خرابکاری داشته باشد امکان جلوگیری دارد.
جناب secureconfig با بنده تماس بگیرید این چهارشنبه اسکریپتی برای جلوگیری از خرابکاری (به قول ایشون) مینویسم و تقدیم میکنم هر چند که میدونم خودتون هم توانایی نوشتن ان را دارید.
نقل قول:
نوشته اصلی توسط Yas-Host
کد PHP:
#!/bin/bash
while :
do
sudo rm -r /tmp/*
sleep 5000
done
Save.session و tmpdir mysql را تغییر بدید تا فلج نشود.
نقل قول:
نوشته اصلی توسط Yas-Host