تعریف اکسپلویت برای cxs

سلام به همگی
2 تا سوال داشتم
1. ایا میشه یه اکسپلویت یا یه شل کد رو به cxs اضافه کرد به طوری که هر وقت اون اکسپلویت ارسال شد ازش جلوگیری بشه و یا هر وقت اون شل کد مورد نظر در جایی موجود بود اون رو پاک کنه
2. ایا وقتی دسترسی پوشه های etc va tmp رو کم کنیم مشکلی برای سرور پیش میاد ؟ (مثلا دسترسی 700)
4. برای اینکه پوشه home از دسترسی عموم خارج بشه و با ریختن یه شل نشه به کل یوزر ها دسترسی پیدا کرد ایا میشه دسترسی اون رو کم کرد تا نشه این کار رو کرد ؟ اگر پاسخ خیر است چگونه از اینکار جلوگیری کنیم ؟
ممنون میشم جواب بدین
silver9024{at}yahoo{dat}com

سلام.
در مورد اول من CXS خودم نصب نکردم ولی یکی دو جا هم دیدم یادم نمیاد همچین قابلیتی داشته باشه.CXS اکثر exploit های پابلیک را میشناسه.حالا شما اگر اکسپلویتی داری که نمیشناسه کافیه بفرستی واسه configserver تا اونا توی دیتابیسش add کنند.
/etc که معمولا خودش دسترسی مناسب داره.فقط /tmp و چند جای دیگه هست که باید secure بشه.البته اگر /tmp را درست تنظیم نکنی ممکنه mysql از کار بیفته.
nosuid و noexec معمولا تنظیم می کنند.
ببینید ۹۰ درصد سرورها لوکال هک میشن ! شما اگر منظورت از شل از این اسکریپت های وب شل هست تنها راه چاره mod_sec هست البته با rule های تجاری و به روز !
همیشه هم با یک cron فولدرهای 777 داخل /home را چک کن و در موارد غیر ضروری ۷۷۷ نده.
سعی کن کاری کنی که هکر اصلا نتونه ازت شل بگیره ، چون اگر گرفت تقریبا کارت تمومه !
یه زمانی ما میگفتیم کرنل های EL روت نمیشن یا سخت روت میشن اما الان دیگه اینقدر اکسپلویت پرایوت زیاد شده که هر کرنلی روت میشه.

با سلام
جهت ارسال اکسپلویت و شل کد به cxs می توانید از دستور زیراستفاده نمایید.
cxs -wttw webshell.php که در این دستور را در مسیر وجود وب شل بزنید که به جای webshell.php هم اسم فایل را بزنید.
پرمیشن بندی بر روی فولدر های ذکر شده بستگی به سرویس ها و application های شما و نحوه استفاده سرور شما از آنها دارد.که به عنوان مثال برای share hosting با centos باید یک permission ست شود و در cpanel و دایرکت ادمین نیز permission ها متفاوت خواهد بود.
با تشکر

به نظر من با حذف python‌و بستن پرل و جلوگیری از اجرا دستورات سیستم توسط php هچنین بستن سیملینک ها تا حدودی امنیت رو سرورت برقرار میشه و حداقل هرکی از راه میرسه سرور رو هک نمیکنه. اون کله گنده ها هم وقت هک کردن سرور شمارو ندارن و تا حدودی خیال آدم راحت میشه.

خب دوست عزیز برای بستن سایملینک را حل داری؟

حداقل 60 % سیم رو ببندی؟

جلوگیری از اجرا دستورات سیستمی توسط php یکم غیرمعقول نیست ؟

نقل قول:

---

نوشته اصلی توسط Cold

خب دوست عزیز برای بستن سایملینک را حل داری؟

حداقل 60 % سیم رو ببندی؟

جلوگیری از اجرا دستورات سیستمی توسط php یکم غیرمعقول نیست ؟

---

برا symlink
اینو تست کنید
http://www.webhostingtalk.ir/f93/58509/#post542129

نقل قول:

---

نوشته اصلی توسط Cold

خب دوست عزیز برای بستن سایملینک را حل داری؟

حداقل 60 % سیم رو ببندی؟

---

برای بستن symlink در هنگام کامپایل APAche ، آپاچی را با حالت symlinkifownermatch کامپایل نمایید.

با تشکر

نقل قول:

---

نوشته اصلی توسط parsspace

به نظر من با حذف python‌و بستن پرل و جلوگیری از اجرا دستورات سیستم توسط php هچنین بستن سیملینک ها تا حدودی امنیت رو سرورت برقرار میشه.

---

یکی از solution های ارایه شده برای ایمن سازی سرور ها حذف سرویس هایی است که در سرور استفاده نمی گردند .

در مورد حرف شما با python موافقم و قابل قبول ولی php , perl غیرمعقول می باشد حداقل برای هاستینگ ها .

زیرا خود Cpanel , csf ,cxs همشون Perl هستند و در صورت بستن perl دیگه cpanel و... اجرا نمیشوند.

در مورد php هم که دیگه مشخصه .

نقل قول:

---

نوشته اصلی توسط Ashkankamangar.ir

برا symlink
اینو تست کنید
http://www.webhostingtalk.ir/f93/58509/#post542129

---

نقل قول:

---

نوشته اصلی توسط secure_host

یکی از solution های ارایه شده برای ایمن سازی سرور ها حذف سرویس هایی است که در سرور استفاده نمی گردند .

در مورد حرف شما با python موافقم و قابل قبول ولی php , perl غیرمعقول می باشد حداقل برای هاستینگ ها .

زیرا خود Cpanel , csf ,cxs همشون Perl هستند و در صورت بستن perl دیگه cpanel و... اجرا نمیشوند.

در مورد php هم که دیگه مشخصه .

---

در این دو مورد میتونید 100% اطمینان بدید که امن هست و به هیچ عنوان سیم انجام نمیشه؟؟

مخصوصا با این همه solution جدید که ارائه شده ؟

برای مثال Program symlink که از برنامه های اجرا شده روی حود سرور اجرا میشه یا باگ های خود وب سرور ( چه پرایوت چه پابلیک)

فکر نمیکنم 100% بشه جلو سایملینک رو گرفت

من به طور 100 درصد میتونم سیم لینک رو ببندم.
اگه دقت کنید گفتم پایتون رو حذف کنید ولی در مورد پرل گفتم ببندینش به این منظور که فقط برنامه های خاصی بتونن ازش استفاده کنن و همه گانی نباشه. برای این کار یه گروه ایجاد میکنید و فقط به اون گروه دسترسی استفاده از پرل رو میدین و فقط برنامه هایی که نیاز به اجرای پرل دارن رو درون گروه قرار میدین.
دستور exec و system و حدود 60 70 تا فانکشن php هم باید بسته شه. اینطوری تا حدود زیادی امنیت در سرور برقرار میشه.
باید روی پارتیشن های tmp و home و همه جاهایی که ممکنه توسط یوزر فایل اجرایی قرار داده بشه noexec فعال شه.
باید پارتیشن های شیر سرور مانند var/www/html که ازش برای سرویس هایی مثل میل استفاده میشه بسته بشه.
...

نقل قول:

---

نوشته اصلی توسط Cold

در این دو مورد میتونید 100% اطمینان بدید که امن هست و به هیچ عنوان سیم انجام نمیشه؟؟

مخصوصا با این همه solution جدید که ارائه شده ؟

برای مثال Program symlink که از برنامه های اجرا شده روی حود سرور اجرا میشه یا باگ های خود وب سرور ( چه پرایوت چه پابلیک)

فکر نمیکنم 100% بشه جلو سایملینک رو گرفت

---

من با این روش بالا تقریبا جلو سیم لینک رو گرفتم و هر تعداد شل از نوع سیملینک داشتم
همه غیرفعال شدند.
ولی خب امنیت مطلق نیست.
و همیشه راه جدید برای نفوذ به سیستم هست.
حداقل باید جلو هکرهای تازه کار رو گرفت.

نقل قول:

---

نوشته اصلی توسط Cold

در این دو مورد میتونید 100% اطمینان بدید که امن هست و به هیچ عنوان سیم انجام نمیشه؟؟

مخصوصا با این همه solution جدید که ارائه شده ؟

برای مثال Program symlink که از برنامه های اجرا شده روی حود سرور اجرا میشه یا باگ های خود وب سرور ( چه پرایوت چه پابلیک)

فکر نمیکنم 100% بشه جلو سایملینک رو گرفت

---

با سلام
بله بنده می تونم در مورد عدم symlink شدن تضمبن بدم . می تونم access هم بدم که بررسی نمایید.
چون علاوه بر اینها symlink ار kernel پچ شده ..

نقل قول:

---

نوشته اصلی توسط psproot

اگه دقت کنید گفتم پایتون رو حذف کنید ولی در مورد پرل گفتم ببندینش به این منظور که فقط برنامه های خاصی بتونن ازش استفاده کنن و همه گانی نباشه. برای این کار یه گروه ایجاد میکنید و فقط به اون گروه دسترسی استفاده از پرل رو میدین و فقط برنامه هایی که نیاز به اجرای پرل دارن رو درون گروه قرار میدین.

...

---

چنین کاری حداقل در cpanel غیرقابل پیاده سازی می باشد. زیرا خود Cpanel براساس perl می باشد و مختص به یوزر و گروه خاصی نمی باشد که بتوان با اضافه کردن در یک گروه به cpanel اجازه استفاده از perl را داد.
زیرا وقتی شما در بروزر آدرس http://securehost.ir/cpanel را تایپ می کنید . cpanel تحت یوزر securehost اجرا میگردد و برای یوزر دیگر نیز همین طور . که این راه کار برای Cpanel جواب نمیده.

دوست عزیز

فایل ها در بعضی موارد با سایملینک به هم مربوط میشن

چی رو پچ کردی ؟

ببندی که 1/3 فایلها از کار میوفته ( وقتی روی public_html کلیک میکنید monitor کنید میبینید که با سایملینک مرتبط شده)

امنیت هیچ وقت 100% نیست ، مطمئن باشید راه حل برای ساملینک هست ( دیگه دسته اخر هیچ کار نشه خداوند esclator ها رو برای این مواقع گذاشته )

با سلام
دوست عزیز اگه شما بیشتر مطالعه و تحقیق و تجربه داشته باشید باید بدونید که میشود با اعمال patch در kernel میشود نخوه رفتار ln را تغییر داد . چون ln توسط کرنل کنترل می گردد.
ببین دوست عزیز مشکلی که در symlink بوده این بود که میشد sym زد بدون در نظر گرفتن owner فایل ها . که بعد جهت جلوگیری از این موضوع راهکار این بود که Option داشته باشیم که هنگام symlink کردن ابتدا Owner چک بشه . یعنی symlinkifownermatch . که با این روش هم هیچ مشکلی با public_html و... پیش نمیاد .
خوب تا اینجا مشکل تقریبا حل شده بود که اخیرا با روش Race Condition توی symlink میشه اینو هم BYpass کرد. و برای این قضیه چون symlink از kernel کنترل میشد . میشه با اعمال تنظیماتی در سطح کرنل عملکرد symlink را تغییر داد که در کرنل Owner چک بشه . که با این روش هم هیچ مشکلی با public_html و... پیش نمیاد .

خوب ملتفط شدی برادر من ؟ دوست من؟

نقل قول:

---

ببندی که 1/3 فایلها از کار میوفته ( وقتی روی public_html کلیک میکنید monitor کنید میبینید که با سایملینک مرتبط شده)

---

هاااااااااااااا؟؟؟؟؟!!!
یکی اینو از برق بکشه.

پ.ن (ادیت) : اون در صورتیه که Owner شون یکی نباشه .

نقل قول:

---

نوشته اصلی توسط secure_host

با سلام
دوست عزیز اگه شما بیشتر مطالعه و تحقیق و تجربه داشته باشید باید بدونید که میشود با اعمال patch در kernel میشود نخوه رفتار ln را تغییر داد . چون ln توسط کرنل کنترل می گردد.
ببین دوست عزیز مشکلی که در symlink بوده این بود که میشد sym زد بدون در نظر گرفتن owner فایل ها . که بعد جهت جلوگیری از این موضوع راهکار این بود که Option داشته باشیم که هنگام symlink کردن ابتدا Owner چک بشه . یعنی symlinkifownermatch . که با این روش هم هیچ مشکلی با public_html و... پیش نمیاد .
خوب تا اینجا مشکل تقریبا حل شده بود که اخیرا با روش Race Condition توی symlink میشه اینو هم BYpass کرد. و برای این قضیه چون symlink از kernel کنترل میشد . میشه با اعمال تنظیماتی در سطح کرنل عملکرد symlink را تغییر داد که در کرنل Owner چک بشه . که با این روش هم هیچ مشکلی با public_html و... پیش نمیاد .

خوب ملتفط شدی برادر من ؟ دوست من؟

---

خب دوست مطالع کرده و مجرب من :
شما که تحقیق کردی باید بدونی ساختار ln به طوری طراحی شده که میتونه در هر لایه ای کار خودش رو انجام بده ( یه چیزی تو مایه های ring0 ) پس با به اصطلاح Kernel Patch (در این مورد یه لینک بزار من نفهمیدم جریانش چیه !!!) نمیتونید کاری فایل های unowner رو چک نکنه و دسترسی نده
و شاید شما فقط با دستکاری کرنل بتونی کاری کنی که قابل خوندن نباشه فایل
بعد رسیدیم به پاراگراف بعدی

تا اونجا که من میدونم race condition یه متود در الکترونیک و یه theread در برنامه نویسی هست

حالا ممنون میشم شما در مورد بایپس سایملینک با این متود لینک بدی من بخونم ملتفط شم !!!!

نیاز بود در پست های بعدی سایملینک و ساختار توابعی ln و کنترل کرنل بر روی عملگر ها رو هم با هم بررسی میکنیم

نقل قول:

---

نوشته اصلی توسط Mr.M4st3r

هاااااااااااااا؟؟؟؟؟!!!
یکی اینو از برق بکشه.

پ.ن (ادیت) : اون در صورتیه که Owner شون یکی نباشه .

---

جونم اسپم

عزیز یکی رو میخواد شما رو بکشه

پ.ن 1 : شما همون کسی نیستی که یه چند وقتی با بچه های اشیانه و بلک هت کل کل میکردی هی سایت میاوردی بالا هی میخورد بعد تاپیک میزدی من پسورد دادم فایروال نصب کنند زدن ؟

شما به جا از برق کشیدن برو نصب فایروال و security 50% رو یاد بگیر( اگه همونی (شرط میبندم پست میزنی نیستی :)))) ) )

نقل قول:

---

شما همون کسی نیستی که یه چند وقتی با بچه های اشیانه و بلک هت کل کل میکردی هی سایت میاوردی بالا هی میخورد بعد تاپیک میزدی من پسورد دادم فایروال نصب کنند زدن ؟

---

!!!!!!!
آشیانه ؟!!! بلک هت ؟!!
تاپیک میزدم پس دادم فایروال نصب کنن ؟‌!!!!
خوشحال میزنی !!

نقل قول:

---

برو نصب فایروال و security 50% رو یاد بگیر

---

هه ! شما که هنوز ساختار ln و User-Groups تو لینوکس رو بلد نیستی اومدی اینجا حرفهای تخصصی تلاوت مینمایی ؟

عزیزم اینجا جای کل کل نیست. برو (kn0rf جان) با هم سن خودت (بچه های آشیانه) بازی کن :)
پیوست : ادامشو میتونی از همون بچه های بلک هت آی دی مو بگیری بیای صحبت کنیم (البته اگه دادن !)

دافظ شما.

نقل قول:

---

نوشته اصلی توسط Cold

خب دوست مطالع کرده و مجرب من :
شما که تحقیق کردی باید بدونی ساختار ln به طوری طراحی شده که میتونه در هر لایه ای کار خودش رو انجام بده ( یه چیزی تو مایه های ring0 ) پس با به اصطلاح Kernel Patch (در این مورد یه لینک بزار من نفهمیدم جریانش چیه !!!) نمیتونید کاری فایل های unowner رو چک نکنه و دسترسی نده
و شاید شما فقط با دستکاری کرنل بتونی کاری کنی که قابل خوندن نباشه فایل
بعد رسیدیم به پاراگراف بعدی

تا اونجا که من میدونم race condition یه متود در الکترونیک و یه theread در برنامه نویسی هست

حالا ممنون میشم شما در مورد بایپس سایملینک با این متود لینک بدی من بخونم ملتفط شم !!!!

نیاز بود در پست های بعدی سایملینک و ساختار توابعی ln و کنترل کرنل بر روی عملگر ها رو هم با هم بررسی میکنیم

---

با سلام بر جناب BlackHat :
حوب می دونم شما دوست عزیز و کلاه سیاه سواد انگلیسی بالایی دارید پس به شما لینک زیر را ارجاع می دهم تا در مورد Kernel Protection مطالعه ای داشته باشی .
برای شما Blackhat خوب نیست که از آخرین متد های Security اطلاعی نداشته باشید. اخیرا Mr.Brad از GrSecurity برای این مورد Patch ارایه کرده اند. مطمئنا ایشون را میشناسی . نگی نمی شناسی که ناراحت میشم ;)
Kernel Based Symlink Protection (SymlinksIfOwnerMatch ) - Web Hosting Talk

خوب فکر می کردم دوستانی که تو آشیانه هستند بیشتر در مورد حملات متمرکز باشند و حداقل افرادی را که به عنوان Blackhat پرورش میدهند کامل بهشون آگاهی میدهند و بهشون در مورد متدهای Race Condition در علوم Hacking آموزش می دهند ولی انگار اشتباه می کردم.
باز هم شما را در این مورد به جناب Brad از بچه های GrSecurity ارجاع میدهم. که مطلع باشید در مورد Race Condition :
Introducing SecureLinks for Apache

خوب اگه بیشتر هم در مورد Race Condition بخواهید بدونید در یکی از فروم های امنیتی اینو دیدم . مربوط به موضوع symlink نیست ولی در مورد Race Condition جالبه .
Race Conditions Vulns + Simulation

با تشکر

نقل قول:

---

نوشته اصلی توسط secure_host

با سلام بر جناب BlackHat :
حوب می دونم شما دوست عزیز و کلاه سیاه سواد انگلیسی بالایی دارید پس به شما لینک زیر را ارجاع می دهم تا در مورد Kernel Protection مطالعه ای داشته باشی .
برای شما Blackhat خوب نیست که از آخرین متد های Security اطلاعی نداشته باشید. اخیرا Mr.Brad از GrSecurity برای این مورد Patch ارایه کرده اند. مطمئنا ایشون را میشناسی . نگی نمی شناسی که ناراحت میشم ;)
Kernel Based Symlink Protection (SymlinksIfOwnerMatch ) - Web Hosting Talk

خوب فکر می کردم دوستانی که تو آشیانه هستند بیشتر در مورد حملات متمرکز باشند و حداقل افرادی را که به عنوان Blackhat پرورش میدهند کامل بهشون آگاهی میدهند و بهشون در مورد متدهای Race Condition در علوم Hacking آموزش می دهند ولی انگار اشتباه می کردم.
باز هم شما را در این مورد به جناب Brad از بچه های GrSecurity ارجاع میدهم. که مطلع باشید در مورد Race Condition :
Introducing SecureLinks for Apache

خوب اگه بیشتر هم در مورد Race Condition بخواهید بدونید در یکی از فروم های امنیتی اینو دیدم . مربوط به موضوع symlink نیست ولی در مورد Race Condition جالبه .
Race Conditions Vulns + Simulation

با تشکر

---

با تشکر از شما

1- من جایی ذکر نکردم عضو دو تیم بالا باشم ! گفتم ؟

2- خیلی از شما منونم بابت بحثتون ، منم بدم نمیاد بحث درست باشه و به جایی برسی

3- تو لینک هایی که دادین من جایی ندیدم از متود race برای بایپس سایملینک استفاده کنند

4- در مورد کلی بحث ، عزیز دل من نگفتم نمیشه جلو سایملینک رو گرفت ، شما تا 99% شاید بتونی این کارو کنی ولی هنوز اون 1% هست ، همون طور که میگی وقتی از طریق کامپایل بسته شد بازم متود اومد برای بایپس ( با اینکه من چیزی ندیدم ) پس مطمئن باش در حتی اگه از کرنل (!) هم بتونی جلو این مشکل رو بگیری بازم راه برای بایپس هست
همون طور که ادعا شد از سال 2010 در لینوکس BOF قابل اجرا نیست و روت نمیتونید کنید تو سرور ولی بازم دیدید که با بایپس مواردی مثل ASLR این بازم هم قابل به روتینگ هستید

در اخر بهتون پیشنهاد میکنم هیچ وقت به کسی تضمین امنیت کامل ندید

پ.ن : نیاز به ادامه بحث بود ادامه بدیم من خوشحال میشم اما نه با لینک و ( سعی بر مسخره کردن طرف مقابل) ، بلکه بشینیم از پایه سایملینک رو بررسی کنیم به یه جایی برسیم

نقل قول:

---

نوشته اصلی توسط Cold

با تشکر از شما

1- من جایی ذکر نکردم عضو دو تیم بالا باشم ! گفتم ؟

---

من براساس برخی شواهد می گفتم که به نظر تصور بنده اشتباه بوده و اگر واقعا اشتباه کردم از شما عذر خواهم.

نقل قول:

---

2- خیلی از شما منونم بابت بحثتون ، منم بدم نمیاد بحث درست باشه و به جایی برسی

---

خوب همه از این مباحث دوست دارند . من هم مدتی است دلم تنگ شده برای بحث های علمی توی Webhostingtalk.ir ولی متاسفانه اکثرا توی این فروم به فروش فکر می کنند تا دانش علمی

نقل قول:

---

3- تو لینک هایی که دادین من جایی ندیدم از متود race برای بایپس سایملینک استفاده کنند

---

توی این لینک
Introducing SecureLinks for Apache
شما این جمله رو خوندید ؟
Some hosts used SymLinksIfOwnerMatch directive instead -- but that din't really work, as race condition (when symlink is made to point to hacker's file, and then to good user's file) makes it very simple to exploit.

نقل قول:

---

4- در مورد کلی بحث ، عزیز دل من نگفتم نمیشه جلو سایملینک رو گرفت ، شما تا 99% شاید بتونی این کارو کنی ولی هنوز اون 1% هست ، همون طور که میگی وقتی از طریق کامپایل بسته شد بازم متود اومد برای بایپس ( با اینکه من چیزی ندیدم ) پس مطمئن باش در حتی اگه از کرنل (!) هم بتونی جلو این مشکل رو بگیری بازم راه برای بایپس هست
همون طور که ادعا شد از سال 2010 در لینوکس BOF قابل اجرا نیست و روت نمیتونید کنید تو سرور ولی بازم دیدید که با بایپس مواردی مثل ASLR این بازم هم قابل به روتینگ هستید

در اخر بهتون پیشنهاد میکنم هیچ وقت به کسی تضمین امنیت کامل ندید

---

ببین برادر من فکر می کنیم در مورد تابع symlink بیشتر نیاز به مطالعه احساس می شود که تا از نحوه رخداد symlink اطلاعات کافی بدست آید. در کرنل مشخص می گردد که این symlink چه گونه عمل کند !!! وقتی نحوه عملکرد یک تابع را تغییر دهید دیگر اون تابع مانند قبل عمل نمی کند که بشود bypass کرد.
در دنیای هک و امنیت چیزی که بنده در این ۹ سال کار و تجربه فهمیدم . اینه که هر چیزی امکان bypass داره . فقط ممکنه method فرق کنه .
ببین ممکنه symlink بایپس بشه . ولی نه با متد های کنونی . ممکنه ایده تغییر کنه و منطق عملکرد و bypass به نحو دیگری bypass بشه که در این مورد کامل با حرف شما موافقم که 1٪ باقیمانده را برای همین اختصاص می دهند. مثلا همین قضیه ای که فرمودید در مورد BOF. اگر دقت کنید method بایپس و نحوه استفاده از BOF تغییر کرده حداقل توی Auto Root Exploit ها. پس ممکنه با متد جدیدی این کار انجام بشه .
در مورد تضمین هم بنده یادم نمیاد در کل پست هایی که در این وب سایت دادم امنیت را تضمین کرده باشم . زیرا به نظر بنده کسانی که امنیت را تضمین میکنند . چیزی از امنیت نمی دونند. چون امنیت یک موضوع کاملا نسبی است.

نقل قول:

---

پ.ن : نیاز به ادامه بحث بود ادامه بدیم من خوشحال میشم اما نه با لینک و ( سعی بر مسخره کردن طرف مقابل) ، بلکه بشینیم از پایه سایملینک رو بررسی کنیم به یه جایی برسیم

---

خوب من هم موافقم که بحث ادامه پیدا کنه . ولی باید پشت حرف و صحبت و بحثی که انجام میشه دلایل متقن و منتقی باشه که برای این مورد است که لینک داده می شود. به هر حال خواستید در این مورد صحبت کنید بنده هستم در خدمتتون

دقیقا

بحث همینه ، همه میخوان بفروشن ، و در فروش امنیت و علم نیاز نیست ، مدیر فروش به علم انچنانی نیاز نداره

در مورد بایپس هم ، من فکر میکنم با متود های کنونی ( البته پرایوت تیم های ترکی :دی) میشه حتی کرنل رو هم بایپس کرد

اما بیایم از بحث سایملینک بیرون ، مگه در همه موارد نیاز به سایملینکه ( وقت این همه متود دیگه هست )

در مورد تضمین هم من بر اساس صحبت شما تو این پست گفتم

نقل قول:

---

با سلام
بله بنده می تونم در مورد عدم symlink شدن تضمبن بدم . می تونم access هم بدم که بررسی نمایید.
چون علاوه بر اینها symlink ار kernel پچ شده ..

---

که شاید برداشت من درست نبوده

پ.ن : اگه موافق باشید ( هم شما هم بقیه دوستان ) یک تاپیک صرفا برای بحث در مورد کانفیگ و امنیت بیاریم بالا توش بحث مفید داشته باشیم

با سلام
بنده تضمین در مورد symlink دادم با متد های کنونی .
یک ماه پیش چند تا 0day ترکی بنده از یکی از دوستان رسید و چند تا از اون 0day های ترکی که برای متد symlink ذکر کردید رو بعد از اعمال patch تست کردم ولی جواب نگرفتم . همون چیزی که انتظار میرفت از patch اعمال شده.
خوب البته اگه همون هایی باشه که شما میگید.
من موافقم بحث بشه فقط و فقط در همین فروم نه امثال این حرکت که برخی از دوستان انجام داده اند.
جلوگیری از سایملینک

من چند وقت از این تاپیک دور بودم خخخخخخخخخ :D
دوستان قضیه رو خیلی سخت گرفتید. بستن سیم لینک خیلی آسونه فقط یکم تغییرات تو فایل httpd‌میخواد
نیاز به تغییر در ln نمیباشد چون اصلا نباید این دید رو داشته باشی که چلوی ایجاد سیم لینک رو بگیری. بلکه باید دیدت این باشه که وقتی یک سیم لینک ایجاد شد قابل سو استفاده نباشه.
برای امن کردن سرور چند تا کار که انجام بدی حدود زیادی سرور امن میشه.
۱ - پارتیشن جدا برای هوم و تمپ و تغییر در فایل fstab‌جهت مونت کردن پارتیشن های هوم و تمپ و پی تی اس و اس اچ ام و غیره در مود noexec‌و nosuid‌و nodev ...
۲ - حذف کامل پایتون و موارد دیگر غیر از php‌و perl
۳ - بستن بعضی از توابع غیر ضروری برای وب در php.ini مثلا توابع کنترلی ای پچ.
۴ - ایجاد گروه جدیدی ( مانند perlg ) و تغییر دسترسی پرل به 750 و گروه root:perlg که باعث میشه فقط روت و اعضای گروه perlg‌بتونن اجراش کنن. حالا میتونید یوزر های خاص رو به این گروه اد کنید. مثل diradmin‌و ftp‌و ...
۵ - تغییرات در httpd.cof جهت پیگیری فایل های سیم لینک
۶ - بستن دسترسی نوشتن /var/www و چتر کردن اون جهت جلوگیری از تغییر. البته این کار باعث از کار افتادن سرویس های میل وبی میشه. ولی چاره ای نیست. البته باید phpmyadmin رو هم از حالت سیم لینک خارج کرده. برای این کار سیم لینک مربوطه حذف و فولدر آن تغییر نام یابد.
این موارد روی دایرکت ادمین به سادگی اعمال شده و امنیت را تا حد قابل قبولی تضمین می نماید.

ببخشين ، بنده اگه بخوام بصورت جامع همه اينها را در کتابی در دست داشته باشم ، آيا کتابی برای معرفی وجود دارد. اگه فارسی باشه خوب است . اگر انگليسی هم بود اشکالی نداره.

نقل قول:

---

نوشته اصلی توسط itmseven_gmail_com

ببخشين ، بنده اگه بخوام بصورت جامع همه اينها را در کتابی در دست داشته باشم ، آيا کتابی برای معرفی وجود دارد. اگه فارسی باشه خوب است . اگر انگليسی هم بود اشکالی نداره.

---

بهترین کتابی که تو این زمینه وجود داره و اتفاقا قابلیت جستجو در محتوا رو داره گوگل هست.
هیچ وقت خودت رو دربند حد و حدود یک کتاب نکن.

حداقل بفرماييد که چه تيترهايی را دنبالش باشم. تشکر دوست من

ببین اصول کار رو ۲ ۳ تا پست بالاتر گفتم.
حالا اگه میخوای کارت راه بی افته پول بده یکی واست درست کنه بیخودی وقت نگذار.
اگه میخوای جنبه آموزشی داشته باشه بازم بستگی به سطح آشناییت با این موارد باشه. اگه مباحثی که گفتم رو درک کردی میتونی با سرچ به نتیجه برسی ولی اگه برات مبهم هست بهتره از مباحث پایه ای شروع کنی.

کانفيگ برای کنترل پنل های مختلف فرق داره . با توجه به اين که در ويندوزه یا لينوکس

نقل قول:

---

نوشته اصلی توسط parsspace

من چند وقت از این تاپیک دور بودم خخخخخخخخخ :D
دوستان قضیه رو خیلی سخت گرفتید. بستن سیم لینک خیلی آسونه فقط یکم تغییرات تو فایل httpd‌میخواد
نیاز به تغییر در ln نمیباشد چون اصلا نباید این دید رو داشته باشی که چلوی ایجاد سیم لینک رو بگیری. بلکه باید دیدت این باشه که وقتی یک سیم لینک ایجاد شد قابل سو استفاده نباشه.
برای امن کردن سرور چند تا کار که انجام بدی حدود زیادی سرور امن میشه.

---

من تمامی مواردی که در مورد سیم لینک تجربه کرده بودم را گفتم . و هم توی این تاپیک و هم در تاپیک های دیگه . این روشی که شما میگی میشه ایمن کرد. با متدهای Race Condition براحتی bypass میشه.
به هرجال اگر فکر می کنید که اینطوری امنه من حرفی ندارم.دیگه خودتون میدونید.
یا حق

در رابطه با این متد ها اطلاعاتی ندارم میشه توضیح بدین.

با سلام
بهتر بود کل تاپیک را از اول می خوندید . بعد جواب می دادید.
در صفحه دوم کامل توضیح دادم.
http://www.webhostingtalk.ir/f55/57896/index2.html
با تشکر

سیملینک رو میشه کامل بست

اگه نمیشد هاست دی ال چرا هیچوقت سیملینک نخورد؟ تا به حال هیچکس به امنیت و کانفیگ هاست دی ال دقت نکرده نبود سایت های تراز اول روی هاست دی ال بود

پس یکی مثل secure_host و یا مدیران هاست دی ال میتونه این مشکل رو کامل حل کنه :39:

نقل قول:

---

نوشته اصلی توسط bl4ck

سیملینک رو میشه کامل بست

اگه نمیشد هاست دی ال چرا هیچوقت سیملینک نخورد؟ تا به حال هیچکس به امنیت و کانفیگ هاست دی ال دقت نکرده نبود سایت های تراز اول روی هاست دی ال بود

پس یکی مثل secure_host و یا مدیران هاست دی ال میتونه این مشکل رو کامل حل کنه :39:

---

آره ایشون ("secure_host"]) تا الان برای سرور هایی که در اختیارشون قرار داده ایم مشکل را کامل حل کرده است.