Но как считаете, что сложнее подобрать — 5-ти символьный пароль на админку, 20ти символьный на SSH или подобрать ключ авторизации для данного сервера?
Админкой пользуются только программисты, которые понимают смысл слов «не раскрывать пароль ни под каким предлогом» или ей пользуются девочки-менеджеры, которым ничего не стоит вызвать компьютерную помощь на дом с висящим на рабочем столе файликом «РАБОТА_ПАРОЛИ.txt».
Из 10 магазинов, которые мы делаем, у 6 хоть раз взламывают админку, причем не по вине именно одного из менеджеров, для которой «аккаунт с нужными правами потом создадим» или «ой. я заходила в админку с wi-fi в кафешке.»
Кроме того, пароли палят на скриншотах, в смсках, когда дают своему одногруппнику / собутыльнику телефон поиграться, расшаривают в локалке через DC++.
Спалить пароль — плевое дело. Но даже если у злоумышленника и получилось это сделать, нужно максимально минимизировать ущерб от его присутствия.
Если злоумышленник получил пароль от админки сайта, нужно максимально противодействовать его действиям.
В случае, если на всех файлах у вас стоит 0755 и нет консоли, а также отсутствует phpMyadmin на серваке, а также к базе запрещены внешние коннекты, то, хоть злоумышленник и получить пароль, но не сможет, например, слить таблицу с хешами пользователей или получить доступ к переписке. Максимум, на что он может надеятся — это на дефейс.
В случае, если у него есть консоль, небольшой скрипт — и в наших руках уже куча приватной инфы.
Файловый менеджер действительно с тем или иным успехом позволит делать все, что позволяет php, за исключением, может, совсем долбанутых использований, для которых нужен именно PHP (с ходу даже не смогу их придумать). Но, пардон, я и не говорил что с помощью файлового менеджера хостинг-провайдера можно сделать меньшие проблемы.
Да и вообще — зачем пользоваться виртуальными хостингами — это же задница полная — кроме того, что они тормозят, в любой момен тебя могут турнуть за превышение какого-то там «лимита» без объяснения причин и иногда даже без сайта. Как вообще работать с сайтом, на который заходит больше ста человек в день на таком хостинге???? Как контролировать время ответа сервера, если у тебя нет доступа к конфигам базы и ты не можешь перераспределить оперативу? про потенциальную дыру в безопасности в виде «панели хостинг-провайдера» я вообще молчу.
Ни один нормальный проект, взламывать который имеет смысл не будет на виртуальном хостинге. А если вам просто нужно, чтобы сайт васьки из соседнего подъезда полежал пару дней в дауне, то для этого не обязательно что-то взламывать и искать какие-то пароли.
Установив на файлы права 0755 вы запретите их запись и редактирование все, кроме владельца. А т.к. сейчас на большинстве хостингов (не берем в рассчет откровенное гавно, где этого еще не сделали) FTP пользователь и WWW-пользователь (от которого и запускается файл-менеджер) — это разные пользователи, то установка прав доступа 0755 приводит к тому, что файлы не отредактировать через файловый менеджер. Ваши скрипты в безопасности, никто не сможет подсунуть в странички вашего сайта вредоносный код и остаться незамеченным.
Конечно, вам могут подчистить базу — но по сравнению с попаданием в черные списки поисковиков — это мелочи.
Вообще, на просторах интернета есть немало материалов на эту тему — про разграничения прав пользователей, и про PHP инъекции. Советую ознакомиться для общего развития.
«в принципе не должен быть доступен для системного веб-пользователя» — это с каких это пор?
/etc/passwd как раз то и открыт для чтения всем желающим пользователям. Закрыт /etc/shadow.
Да, я могу создать сниппет, но сниппет — это ФАЙЛ. А ваша консоль исполняет все с помощью eval.
Виртуальными хостингами пользуются те, кого и взламывать не надо.
Если ваша консоль тоже будет писать в файл, а потом его инклюдить, дыра исчезнет. Но тогда исчезнет и необходимость в консоли.
Называть всех, кто не согласен с вашим мнением флудерами — хорошая тактика спора. Но я пишу это не для вас, а для тех, кто прочитав этот пост подумает «отличная идея!». И в итоге еще одним дырявым сайтом будет больше.
Может быть и Рево вы и знаете лучше меня, но UNIX знаете точно хуже, обозначив это первой строчкой предыдущего комментария.
«Так вот, это как правило всего несколько строк кода, и для выполнения этого небольшого кода больше времени уходит на создание файла-обработчика.» — это нужно делать с помощью команды php в SSH-сессии.
Кроме того, что это дыра в безопасности, представьте, что после выполнения вот таких вот «несколько строчек» вдруг к вам неожиданно придет осознание того, что они будут выполняться несколько дольше, чем вы ожидали, и отвалятся по лимиту. Повторно запустите скрипт? А если скрипт не предполагает возможности повторного запуска? Например, это рассылка или операция по конвертированию данных?
Писать враппер для возможности контролировать процесс запуска? А не много ли работы для простой задачи, решение которой на поверхности.
Убить хомяк можно и более действенными способами. Натравить Jmeter и хостинг сразу вас попросит за превышение нагрузки — тут даже мозг напрягать не надо.
Кроме того, опять же файловый менеджер виртуалок работает от www.
Распечатайте себе огромную надпись «ВСЕГДА СТАВЬ 0755 на *.php» и больше не пишите глупостей.
PS: На большинстве виртуалок eval не работает. Поэтому на них данная консоль бесполезна.
Более того, админка даже не позволит залить вам файл пакета через нее. Вам сначала нужно залить в папку core/packages а потом уже админка просканирует эту папку и выделит то, что можно установить.
Это отличная и внешне безопасная система (внутри может тоже ничего — но я не лез, поэтому не знаю).
Редактировать можно ФАЙЛЫ. Поэтому ставим на все файлы в каталоге 0755 (что нужно делать впервую очередь всегда) — и все — редактор файлов превращается в просмотрщик, и жопа цела.
А что делает ваша консоль? она исполняет файл? А нет, она исполняет любой скрипт, который я захочу. Захочу /etc/passwd посмотрю, захочу шелл в home залью. Да мало ли что я смогу с линуксом сделать, если я уже залогинен под пользователем.
А, у меня еще и доступ в базу есть!!! Ваши пользователи будут вам благодарны за то, что вы спалили их е-mail.
Одним словом, развлекаться можно долго. И не в вашу пользу.
Завтра злоумышленник подбирает пароль к админке сайта, заходит в консоль — и вуаля — у него есть UNIX-шелл c пользователем WWW. Закачиваем эксплоит (или просто копипастим его код), компилируем и исполняем. Вуаля у нас root.
А теперь внимание вопрос: А стоит ли подставлять жопу ради фичи, которая нужна один раз в год?
Неужели вы думаете что в большинстве крупных CMS отсутствует консоль только потому что разрабы ленивые или забывчивые?
Не ставьте консоль на админку. Вы получите деньги и уйдете, а бороться с «хакерствующей» и психически нестабильной частью интернет сообщества не вам.
Давно уже есть предложения на 160GB версию в районе 11 т.р.
В случае снижения начальной цены на 50$, есть неслабая вероятность, что 160GB версию можно будет купить за 9.999 без игр в минимальной поставке.
Небольшой лайвхак: если брать Б/У устройства, то можно сэкономить. Нужно ориентироваться в первую очередь на разрешение, во вторую — на быстродействие.
За такие деньги Sony PS3, пожалуй, лучший из middle сегмента blu ray видео плееров с HDD.
Не уступая им по качеству, и вздрючивая по функциональности, меньше чем за 10 тыс. рублей никто и не вспомнит, что на нем еще можно и в игры поиграть.
Советую не делать реализацию секции на PHP, лучше использовать самописное расширение, которое позволяло бы лочить на время входа запись и ставило бы все в очередь.
Все это без проблем реализуется на плюсах, работает быстрее и использует средства Unix, и сможете равномерней сбалансировать ожидание на демонах.
Вот у меня задача: Слить базу пользователя с хешами.
Условия такие:
На всех файлах у вас стоит 0755, отсутствует phpMyadmin на серваке, а также к базе запрещены внешние коннекты.
Как средствами modX я смогу удовлетворить свой интерес?
Надеюсь, как его удовлетворить с помощью консоли, вы понимаете:
mysql_query(«SELECT бла-бла-бла
Но как это сделать через админку при указанных выше условиях?
Но как считаете, что сложнее подобрать — 5-ти символьный пароль на админку, 20ти символьный на SSH или подобрать ключ авторизации для данного сервера?
Админкой пользуются только программисты, которые понимают смысл слов «не раскрывать пароль ни под каким предлогом» или ей пользуются девочки-менеджеры, которым ничего не стоит вызвать компьютерную помощь на дом с висящим на рабочем столе файликом «РАБОТА_ПАРОЛИ.txt».
Из 10 магазинов, которые мы делаем, у 6 хоть раз взламывают админку, причем не по вине именно одного из менеджеров, для которой «аккаунт с нужными правами потом создадим» или «ой. я заходила в админку с wi-fi в кафешке.»
Кроме того, пароли палят на скриншотах, в смсках, когда дают своему одногруппнику / собутыльнику телефон поиграться, расшаривают в локалке через DC++.
Спалить пароль — плевое дело. Но даже если у злоумышленника и получилось это сделать, нужно максимально минимизировать ущерб от его присутствия.
Если злоумышленник получил пароль от админки сайта, нужно максимально противодействовать его действиям.
В случае, если на всех файлах у вас стоит 0755 и нет консоли, а также отсутствует phpMyadmin на серваке, а также к базе запрещены внешние коннекты, то, хоть злоумышленник и получить пароль, но не сможет, например, слить таблицу с хешами пользователей или получить доступ к переписке. Максимум, на что он может надеятся — это на дефейс.
В случае, если у него есть консоль, небольшой скрипт — и в наших руках уже куча приватной инфы.
Файловый менеджер действительно с тем или иным успехом позволит делать все, что позволяет php, за исключением, может, совсем долбанутых использований, для которых нужен именно PHP (с ходу даже не смогу их придумать). Но, пардон, я и не говорил что с помощью файлового менеджера хостинг-провайдера можно сделать меньшие проблемы.
Да и вообще — зачем пользоваться виртуальными хостингами — это же задница полная — кроме того, что они тормозят, в любой момен тебя могут турнуть за превышение какого-то там «лимита» без объяснения причин и иногда даже без сайта. Как вообще работать с сайтом, на который заходит больше ста человек в день на таком хостинге???? Как контролировать время ответа сервера, если у тебя нет доступа к конфигам базы и ты не можешь перераспределить оперативу? про потенциальную дыру в безопасности в виде «панели хостинг-провайдера» я вообще молчу.
Ни один нормальный проект, взламывать который имеет смысл не будет на виртуальном хостинге. А если вам просто нужно, чтобы сайт васьки из соседнего подъезда полежал пару дней в дауне, то для этого не обязательно что-то взламывать и искать какие-то пароли.
Установив на файлы права 0755 вы запретите их запись и редактирование все, кроме владельца. А т.к. сейчас на большинстве хостингов (не берем в рассчет откровенное гавно, где этого еще не сделали) FTP пользователь и WWW-пользователь (от которого и запускается файл-менеджер) — это разные пользователи, то установка прав доступа 0755 приводит к тому, что файлы не отредактировать через файловый менеджер. Ваши скрипты в безопасности, никто не сможет подсунуть в странички вашего сайта вредоносный код и остаться незамеченным.
Конечно, вам могут подчистить базу — но по сравнению с попаданием в черные списки поисковиков — это мелочи.
Вообще, на просторах интернета есть немало материалов на эту тему — про разграничения прав пользователей, и про PHP инъекции. Советую ознакомиться для общего развития.
/etc/passwd как раз то и открыт для чтения всем желающим пользователям. Закрыт /etc/shadow.
Да, я могу создать сниппет, но сниппет — это ФАЙЛ. А ваша консоль исполняет все с помощью eval.
Виртуальными хостингами пользуются те, кого и взламывать не надо.
Если ваша консоль тоже будет писать в файл, а потом его инклюдить, дыра исчезнет. Но тогда исчезнет и необходимость в консоли.
Называть всех, кто не согласен с вашим мнением флудерами — хорошая тактика спора. Но я пишу это не для вас, а для тех, кто прочитав этот пост подумает «отличная идея!». И в итоге еще одним дырявым сайтом будет больше.
Может быть и Рево вы и знаете лучше меня, но UNIX знаете точно хуже, обозначив это первой строчкой предыдущего комментария.
«Так вот, это как правило всего несколько строк кода, и для выполнения этого небольшого кода больше времени уходит на создание файла-обработчика.» — это нужно делать с помощью команды php в SSH-сессии.
Кроме того, что это дыра в безопасности, представьте, что после выполнения вот таких вот «несколько строчек» вдруг к вам неожиданно придет осознание того, что они будут выполняться несколько дольше, чем вы ожидали, и отвалятся по лимиту. Повторно запустите скрипт? А если скрипт не предполагает возможности повторного запуска? Например, это рассылка или операция по конвертированию данных?
Писать враппер для возможности контролировать процесс запуска? А не много ли работы для простой задачи, решение которой на поверхности.
Вот мои против. А какие ваши «за»?
Убить хомяк можно и более действенными способами. Натравить Jmeter и хостинг сразу вас попросит за превышение нагрузки — тут даже мозг напрягать не надо.
Кроме того, опять же файловый менеджер виртуалок работает от www.
Распечатайте себе огромную надпись «ВСЕГДА СТАВЬ 0755 на *.php» и больше не пишите глупостей.
PS: На большинстве виртуалок eval не работает. Поэтому на них данная консоль бесполезна.
Это отличная и внешне безопасная система (внутри может тоже ничего — но я не лез, поэтому не знаю).
А вы выставляете ее решетом.
Редактировать можно ФАЙЛЫ. Поэтому ставим на все файлы в каталоге 0755 (что нужно делать впервую очередь всегда) — и все — редактор файлов превращается в просмотрщик, и жопа цела.
А что делает ваша консоль? она исполняет файл? А нет, она исполняет любой скрипт, который я захочу. Захочу /etc/passwd посмотрю, захочу шелл в home залью. Да мало ли что я смогу с линуксом сделать, если я уже залогинен под пользователем.
А, у меня еще и доступ в базу есть!!! Ваши пользователи будут вам благодарны за то, что вы спалили их е-mail.
Одним словом, развлекаться можно долго. И не в вашу пользу.
А теперь внимание вопрос: А стоит ли подставлять жопу ради фичи, которая нужна один раз в год?
Неужели вы думаете что в большинстве крупных CMS отсутствует консоль только потому что разрабы ленивые или забывчивые?
Не ставьте консоль на админку. Вы получите деньги и уйдете, а бороться с «хакерствующей» и психически нестабильной частью интернет сообщества не вам.
В случае снижения начальной цены на 50$, есть неслабая вероятность, что 160GB версию можно будет купить за 9.999 без игр в минимальной поставке.
Не уступая им по качеству, и вздрючивая по функциональности, меньше чем за 10 тыс. рублей никто и не вспомнит, что на нем еще можно и в игры поиграть.
Все это без проблем реализуется на плюсах, работает быстрее и использует средства Unix, и сможете равномерней сбалансировать ожидание на демонах.
Можете добавить еще штук 20 вращаемых элементов и провести тест на живой машинке? Очень интересны результаты.