cgi-perl açığı Büyük firmaların sorunu - Sayfa 3

28-02-2010, 12:47:26

#19

Administrator

guvenlihost adlı üyeden alıntı: mesajı görüntüle

nasıl kurtulabiliriz

%100 olmasada çok uzun 3-4 işlem sonrasında büyük bir oranda bu sıkıntılardan kurtulabiliyorsunuz fakat bunu bulmaya çabalayan kimse burada açık açık ne işlemleri yaptığını yazmaz malesef.

önce daha önceden .txt lerin çekıldiği siteleri bulup kullanıcılarını değiştirmek gerek. daha sonra ln perl cgi'yi ssh'dan kapatıp cgi yi whm'den iptal edip httpd.conf'dan cgi ve perl'a ait satırları # ile kapatıp kaydetmenız gerek distaller'i calıştırmalısınız bu işlemden sonra. php.ini'de gerekenlerı yapın yapmak istediklerinizide ilave ederek deneme yaparak çözüme ulaşmayı deneyin.

Ben bu kadarını söyleyebilirim.

28-02-2010, 17:54:05

#20

FSO

Co$kuN adlı üyeden alıntı: mesajı görüntüle

%100 olmasada çok uzun 3-4 işlem sonrasında büyük bir oranda bu sıkıntılardan kurtulabiliyorsunuz fakat bunu bulmaya çabalayan kimse burada açık açık ne işlemleri yaptığını yazmaz malesef.

önce daha önceden .txt lerin çekıldiği siteleri bulup kullanıcılarını değiştirmek gerek. daha sonra ln perl cgi'yi ssh'dan kapatıp cgi yi whm'den iptal edip httpd.conf'dan cgi ve perl'a ait satırları # ile kapatıp kaydetmenız gerek distaller'i calıştırmalısınız bu işlemden sonra. php.ini'de gerekenlerı yapın yapmak istediklerinizide ilave ederek deneme yaparak çözüme ulaşmayı deneyin.

Ben bu kadarını söyleyebilirim.

Burda herşeyiyle anlatmanızı bende doğru bulmuyorum ancak bu anlattığınız yöntem ile hem whm eklentilerini kaybetmiş oluyoruz hemde cpanel cgi merkezindeki email , sayaç vb. gibi cgi script kullanan müşterilerimiz mevcut.Onlarında bu sayede işlerini aksatmış oluyoruz.Ayrıca diyelim ki tamam cgi - perl kullanımını sistemde tamamıyla yasakladık diyelim. symlink kullanımı sadece cgi - perl üzerinden olmuyorki, geliştirilmiş r57 tabanlı shelller üzerinden bu işlemler yine yapılabiliyor.Bunun cevabını vermenizi burda beklemiyorum tabikide

ancak bu lamerlerın bulduğu her yöntemi biz bu şekilde kapatmaya kalkarsak yakın zamanda linux işletim sisteminde kullanabileceğimz hiçbir fonksiyon,program kalmayacak.Daha sağlam çözümler olduğuna düşünüyorum gerçekleştirmem durumunda siz meslektaşlarımlada özel olarak paylaşmak isterim.

01-03-2010, 01:07:46

#21

Coşkun Çetin

Administrator

FSO adlı üyeden alıntı: mesajı görüntüle

Burda herşeyiyle anlatmanızı bende doğru bulmuyorum ancak bu anlattığınız yöntem ile hem whm eklentilerini kaybetmiş oluyoruz hemde cpanel cgi merkezindeki email , sayaç vb. gibi cgi script kullanan müşterilerimiz mevcut.Onlarında bu sayede işlerini aksatmış oluyoruz.Ayrıca diyelim ki tamam cgi - perl kullanımını sistemde tamamıyla yasakladık diyelim. symlink kullanımı sadece cgi - perl üzerinden olmuyorki, geliştirilmiş r57 tabanlı shelller üzerinden bu işlemler yine yapılabiliyor.Bunun cevabını vermenizi burda beklemiyorum tabikide

ancak bu lamerlerın bulduğu her yöntemi biz bu şekilde kapatmaya kalkarsak yakın zamanda linux işletim sisteminde kullanabileceğimz hiçbir fonksiyon,program kalmayacak.Daha sağlam çözümler olduğuna düşünüyorum gerçekleştirmem durumunda siz meslektaşlarımlada özel olarak paylaşmak isterim.

cPanel'e ticket açıp sormayı denediniz mi ?

sorarsanız hiçbir servisiniz bu yaptıklarınızdan etkilenmez. çünkü ben ticket açıp sordum neden /cpanel - /whm kısayolları cgi-perl-ln yi kapattığımda açılmıyor diye. herşeyin vardır çözümü fakat fake symlink'i %100 engelleyebilmek için şu yapılabilir Config Server'ın yazdığı tarama proğramı gibi birşey yazabilirsiniz. htaccess 'in içine yazılarak izin verilen zararlı kodları veya shell'leri sunucuya atmaya çalıştıklarında atamazlar.

Buna benzer bir uygulamayı biz Tarık Öğüt ile herkesin başında olan iframe sorununda yaptık ve çözüme kavuşturduk.

01-03-2010, 02:10:55

#22

tarikogut

ücretli destek verebiliriz

01-03-2010, 04:39:08

#23

webloader

Bu acık yüzünden hergün yanıma gelip scriptinde acık var diye başımın etini yiyorlar ama kimseye birşey anlatamıyorum.

01-03-2010, 09:19:52

#24

PcMaKeR

arkadaşlar aklıma birşey takıldı.

linux bilgim iyi değildir ama .htaccess dosyası apachenin değil mi.

apache den perl i kapatsanız mutlaka vardır bir ayarı, çözüm olmaz mı?

cpanel kullanıyorsa eğer sorun olur ama en azından cpanel için yetki verin perl e. host için değil.

belki çözüm olur diye fikir attım ortaya.

01-03-2010, 11:09:34

#25

Coşkun Çetin

Administrator

perl cgi ln 'yi tamamen hem whm'den hem apache'den hemde işletim sisteminden chmod'larını kısıp kapatsak bile fake symlink yaratılabiliyor.

01-03-2010, 11:28:44

#26

FSO

Co$kuN adlı üyeden alıntı: mesajı görüntüle

cPanel'e ticket açıp sormayı denediniz mi ?

sorarsanız hiçbir servisiniz bu yaptıklarınızdan etkilenmez. çünkü ben ticket açıp sordum neden /cpanel - /whm kısayolları cgi-perl-ln yi kapattığımda açılmıyor diye. herşeyin vardır çözümü fakat fake symlink'i %100 engelleyebilmek için şu yapılabilir Config Server'ın yazdığı tarama proğramı gibi birşey yazabilirsiniz. htaccess 'in içine yazılarak izin verilen zararlı kodları veya shell'leri sunucuya atmaya çalıştıklarında atamazlar.

Buna benzer bir uygulamayı biz Tarık Öğüt ile herkesin başında olan iframe sorununda yaptık ve çözüme kavuşturduk.

cPanel'in bu konuda yardımcı olacağını pek sanmıyorum açıkcası. Perl' i geri açın diyecektir öyle zannediyorum ama yinede şansımı denerim

Dediğiniz gibi bende Config Server tarama programını düşünüyorum zaten şimdilik bundan daha iyi bir yol gözükmüyor. Teşekkürler ilgilendiğiniz için.

01-03-2010, 12:59:06

#27

~~guvenlihost~~

Üyeliği durduruldu

Directadminden gelen cevap

Hello,
 
Are you asking how to prevent cgi-bin files from seeing the system?
 
There are a few things you can do, in varying levels of difficulty.
 
1) The simplest, and the one I recommend would be to secure the user home directories with the secure_access_group method:
http://www.directadmin.com/features.php?id=961
 
this makes it so that files for each user cannot be seen by other Users.
 
2) The more complex, but complete solution is to jail the cgi-bin files, but that takes up a huge amount of space, is far more complex and has a higher likelyhood of not working due to it's complexity.
Also, it's classified as beta, and likely will remain there, as development on it has ceased.
http://help.directadmin.com/item.php?id=90
 
 
3) Other various security tips, not directly related to your question:
http://help.directadmin.com/item.php?id=247
 
 
If you don't want to allow cgi-bin access at all (easiest solution), type:
chmod 0 /usr/sbin/suexec
 
to enable it again, type:
chmod 4755 /usr/sbin/suexec

Thank you,
 
John
-----------------------------------------------------
DirectAdmin Web Control Panel
http://www.directadmin.com