Impedir que o www-data execute scripts e programas

Question

Eu descobri este pequeno script PHP que permite inserir pedidos GET manualmente a partir da barra de endereços do navegador e executar comandos. Eu brinquei com ele e descobri que podia fazer todo tipo de coisas como www-data, incluindo visualizar toda a estrutura de diretórios, copiar contas de usuário de arquivos, escrever minuciosamente scripts e arquivos PHP, fazer upload de scripts, arquivos PHP e programas executáveis e fazer o upload e compilar o código-fonte C.

Eu joguei com ele em uma máquina de reposição que não é alcançável a partir da Internet, mas me fez pensar sobre o que poderia acontecer se esse código fosse injetado em uma página da Web (semelhante foi feito com o software de código aberto que usei na passado) e perguntando sobre as etapas que podem ser tomadas para bloquear um servidor para impedi-lo.

Então, existe alguma maneira de impedir que o www-data execute comandos que permitam essas ações em um servidor, caso ele seja acessado dessa maneira?

    

Answer 1

Se você não precisa de algo, é melhor desligá-lo, de fato.

Existem duas coisas que você geralmente pode fazer:

1) Se você não precisa de PHP, então desative-o. No Ubuntu você pode ver a lista de módulos que estão ativados em /etc/apache2/mods-enabled/

Tente:

ls /etc/apache2/mods-enabled/

Se você ver entradas como php5.conf e php5.load , exclua-as. Da mesma forma, você pode encontrar módulos cgi *. * E, se instalados, outros como ruby e perl (não instalados por padrão). Como mencionado por outra pessoa, o suexec também é um problema em potencial porque com a capacidade "su" você pode ver o mundo inteiro.

2) Se você usa PHP, então você pode tentar executar mod-security . Isso evitará muitas coisas, supondo que você ative a maioria das verificações que eles têm lá. No entanto, isso também evitará muitas coisas legais (ou seja, se você tiver um código bash em uma página, essa página pode não ser acessada!)

Naturalmente, a ideia principal é poder instalar sistemas como o Drupal ou o Wordpress. Tal uso PHP e, portanto, você é forçado a usá-lo. Agora observe que um sistema como o Drupal tem uma equipe de segurança completa trabalhando em problemas que apresentam perigo potencial ao servidor ou ao cliente usando o Drupal. Por isso, é geralmente seguro.