Ceci est une ancienne révision du document !



Warning: Declaration of syntax_plugin_styler_verse::handle($match, $state, $pos, &$handler) should be compatible with DokuWiki_Syntax_Plugin::handle($match, $state, $pos, Doku_Handler $handler) in /home/anaeleufv/mon-serveur.anael.eu/lib/plugins/styler/syntax/verse.php on line 107

Warning: Declaration of syntax_plugin_styler_verse::render($mode, &$renderer, $data) should be compatible with DokuWiki_Syntax_Plugin::render($format, Doku_Renderer $renderer, $data) in /home/anaeleufv/mon-serveur.anael.eu/lib/plugins/styler/syntax/verse.php on line 107

Warning: Declaration of syntax_plugin_styler_styler::handle($match, $state, $pos, &$handler) should be compatible with DokuWiki_Syntax_Plugin::handle($match, $state, $pos, Doku_Handler $handler) in /home/anaeleufv/mon-serveur.anael.eu/lib/plugins/styler/syntax/styler.php on line 123

Warning: Declaration of syntax_plugin_styler_styler::render($mode, &$renderer, $data) should be compatible with DokuWiki_Syntax_Plugin::render($format, Doku_Renderer $renderer, $data) in /home/anaeleufv/mon-serveur.anael.eu/lib/plugins/styler/syntax/styler.php on line 123

Warning: Declaration of syntax_plugin_clearfloat::handle($match, $state, $pos, &$handler) should be compatible with DokuWiki_Syntax_Plugin::handle($match, $state, $pos, Doku_Handler $handler) in /home/anaeleufv/mon-serveur.anael.eu/lib/plugins/clearfloat/syntax.php on line 74

Warning: Declaration of syntax_plugin_clearfloat::render($mode, &$renderer, $data) should be compatible with DokuWiki_Syntax_Plugin::render($format, Doku_Renderer $renderer, $data) in /home/anaeleufv/mon-serveur.anael.eu/lib/plugins/clearfloat/syntax.php on line 74

Titre_page

Retour à la liste des tutoriels

Présentation rapide.
Prérequis
  • Aucun prérequis pour ce tutoriel.


grand1

lorem ipsum


Liens

++But : Mettre en place la directive [PHP|tag:PHP] open_basedir++ % !!!! I) Faille de sécurité Le serveur marche sans soucis, et j'héberge maintenant 2 sites : * http://www.anael.eu (dans /var/www/vhosts/anael.eu/httpdocs/ ) * http://88.191.122.115 (/var/www/vhosts/default/) Chacun des deux sites (même si le second n'est qu'une bête page html :-p) doit-être indépendant : comme deux chambres séparées, on ne rentre pas chez l'autre comme ça ! %Hors, par défaut, je peux accéder avec un script PHP à n'importe qu'elle page ! %Une proof of concept très simple : ///[php] <?php $f = fopen('/var/www/vhosts/default/index.html', 'r'); echo fread($f, 150); fclose($f); ?> /// Retourne : ///[html] <html><body><h1>dedi.anael.eu</h1> <p>Bienvenue sur mon serveur :-)</p> </body></html> /// C'est quand même gênant, d'autant plus si j'utilisais cette méthode pour lire un fichier de configuration contenant des logins / passwords ! !!!! II) Correctif Fort heureusement, nous pouvons réduire l'arborescence autorisée pour chacun des sites hébergé ! % Direction le fichier de config Apache de chaque site : /[bash] nano /etc/apache2/sites-available/anael.eu / On y ajoute l'arborescence minimale pour le site : /[apache] <IfModule mod_php5.c> php_admin_value open_basedir /var/www/vhosts/anael.eu/httpdocs/ </IfModule> / Recharge de la config Apache /[apache] service apache2 reload / Et le tour est joué :) %Afin de s'en assurer, on relance le script PoC : ///[apache] [Sun Jun 20 02:21:23 2010] [error] [client xx.xxx.xxx.xxx] PHP Warning: fopen() [<a href='function.fopen'>function.fopen</a>]: open_basedir restriction in effect. File(/var/www/vhosts/default/index.html) is not within the allowed path(s): (/var/www/vhosts/anael.eu/httpdocs/) in /var/www/vhosts/anael.eu/httpdocs/poc.php on line 2 /// Il faut configurer l'open_basedir pour chaque nouveau site qui sera ajouté ! %Cette manip permet de parer à un très grand nombre d'attaques, réduisant la zone de dégâts uniquement au répertoire contenant le site web fautif ! %Note : Suite à une demande sur IRC, si on souhaite préciser plusieurs dossiers, il convient de les séparer par un __:__ (deux-points). %Exemple : /[apache] <IfModule mod_php5.c> php_admin_value open_basedir /var/www/vhosts/anael.eu/httpdocs/:/tmp/:/dev/null/ </IfModule> /