Re: /var/log/nginx

[Maxim Dounin <mdounin@xxxxxxxxxx>]

Hello!

On Wed, Dec 15, 2010 at 09:37:25PM +0200, Gena Makhomed wrote:

> On 15.12.2010 2:37, Maxim Dounin wrote:
> 
> >>>Проблемы же PHP нужно фиксить в рамках PHP.
> 
> >>но почему же разработчики httpd так не думают?
> >>на каталог /var/log/httpd права root:root 0700
> 
> >Не надо на разработчиков Apache возводить напраслину, им своих
> >проблем хватает.  Логи по умолчанию живут в
> >/usr/local/(apache|apache2)/logs, каталог создаётся с umask 022.
> 
> да, не сами лично разработчики Apache,
> а майнтейнеры пакета httpd в Fedora/RHEL/CentOS
> там права доступа root:root 0700 /var/log/httpd
> 
> причина почему они так делают очевидна, чтобы защититься
> от эскалации "PHP Local File Include Vulnerability"
> до уровня "Remote Code Execution Vulnerability"

Я знаю способ лучше:

ifconfig eth0 down

Защищает с куда большой вероятностью и от гораздо большего числа 
уязвимостей.  Вопрос: почему они таки этого не делают?

Просто нужно понять для себя, что "PHP Local File ..." легко 
превращается в remote code execution.  И лечить проблему, а не 
следствие.

Не говоря уже о том, что средств ограничить php в том, до каких 
файлов он вообще сможет добраться - море, начиная от классического 
chroot и заканчивая php'шным же open_basedir.

> >А почему параноики ставят минимальные права, с которыми вообще
> >способна работать программа, на всё, до чего дотянутся - для меня
> >загадка.  Видимо, потому что параноики.
> 
> это называется "Principle of least privilege".

Я знаю, как это называется, спасибо.  И очень хорошо знаю, к чему 
это приводит на практике.

Maxim Dounin

_______________________________________________
nginx-ru mailing list
nginx-ru@xxxxxxxxx
http://nginx.org/mailman/listinfo/nginx-ru