Как защитить веб сервер от взлома через скрипты?

Question

[art style]

Столкнулся с проблемой.
допустим делаю каталог для всех сайтов /var/web/site1 ../site2 ../site3 и тд ... раздаю пользователей фтп всем сайтам, и права 777 распространяющиеся на их папки, но в том же время как сервер может быть защищен если в этих подпапках есть возможность исполнения скриптов .sh и php? помню так у меня взламывали пару сайтов на старых php движках, качали в корень .sh скрипты и превращали сервер в вирусную помойку. как избежать этого?

Answer 1

[Владимир]

Защита веб сервера от таких вещей мероприятие очень сложное и комплексное. Не зря продукты типа cloudlinux работают с плеском и цпанелью - это в общем.
В вашем случае чтобы проблемы не повторялись надо сделать чтобы:
1 каждый сайт = отдельный пользователь.
2 пользватель не может читать/писать за пределами папки с его сайтом
3 процессы php для каждого сайта запускаются от его пользователя
4 вебсервер игнорирует симлинки
5 для популярных ЦМС лучше запретить запуск php в папках типа uploads
6 запретить php функцию exec

Answer 2

[Рональд Макдональд]

допустим делаю каталог для всех сайтов /var/web/site1 ../site2 ../site3 и тд ... раздаю пользователей фтп всем сайтам, и права 777 распространяющиеся на их папки

Ну, например, покурить мануалы и сделать нормально, а не как сейчас. Выделить каждому пользователю доступ только к их каталогу, например.

Ну и снять со всех файлов флаг "исполняемый".

Comments

[art style]

ну допустим так и есть, пользователь имеет доступ к своему каталогу и может выдавать права 777 внутри своего каталога. далее он заливает php скрипт который получает доступ к shell и заражает весь сервак сам того не подозревая?

[Рональд Макдональд]

art style,

php скрипт который получает доступ к shell и заражает весь сервак сам того не подозревая

Лол? А кто дал интерпретатору право вылезать за пределы резервации пользователя? Кто вообще дал разрешение на исполнение чего-либо на shell?
Ответ: злобный буратино.

[Дмитрий Шицков]

и заражает весь сервак

Обождите, а зачем вы пользователю дали доступ на весь сервак?
https://qwertys.ru/?p=78

[art style]

Дмитрий Шицков, я лично не давал. у меня стоковая php fpm и nginx. стояла 2 сайта на разных юзерах, один взломали второй тоже полетел