Titre: Bypass ???? Posté par: /var le 08 Novembre 2009 à 23:27:16 Bonjour tout le monde !!
Voila j'expose mon histoire en esperant etre dans la bonne catégorie . Je dispose d'un serveur dédié sur lequel j'ai créer 2 comptes avec 2 noms de domaine distincts soit : Moi.com , propriétaire " moi " et appartenant au group "users" -> moi:users elle.com , propriétaire " elle " et appartenant au groupe "users" également donc elle:users a chaque domaine son ftp avec mot de passe respectif , fin bon tout ca marche . juste une chose m'inquiete c'est que sur pas mal de lecture , j'ai vu qu'il etait possible via certaines failles , de sortir ce cette arborescence limité et de se ballader dans tout jusqu'a la /racine ... j'aimerai savoir si le fait de creer des hosts supplémentaires au mien me porterai prejudice . d'autant plus que je les cèderais a d'autres webmestre !! qui peut etre ne se securiseraient pas comme moi ... j'aimerai savoir comment securiser alors ces vhosts pour pas qu'ils atteignent quoi qu'il se passe , l'integrité des aurtes serveurs edit : Entre autre empecher mes futurs admin de placer par exemple un shell pour par qu'ils remonte toute l'arbo de mon dedié !!! Titre: Re : Bypass ???? Posté par: akway le 09 Novembre 2009 à 10:52:30 Salut,
bah tout d'abord l'ajout d'utilisateurs virtuels ne pose pas de problèmes en soit du peu que j'en connaisse, Après ce qui pourrai nous aider à comprendre ton problème ce serai nous dire quelle solution logicielle tu utilises. Et aussi préciser un peu quand tu parles de failles...si on connnais la le symptôme alors on administre le traitement :) a moins qu'il ne s'agisse d'une erreur de configuration des utilisateurs virtuels. Citation de: /var j'ai vu qu'il était possible via certaines failles , de sortir ce cette arborescence limité et de se ballader dans tout jusqu'a la /racine ... Tu parles d'users et ensuite de vhosts(utilisateurs virtuels?) ce qui me met le doute... tes users sont ils virtuels ou pas ? Un compte du systeme peut être restreint en spécifiant /bin/false dans ton fichier /etc/passwd comme shell de connection si mes souvenirs sont bons, justement afin d'éviter de leur filer un shell. Est-ce que cela conviendrai à tes besoins ? Titre: Re : Bypass ???? Posté par: /var le 09 Novembre 2009 à 11:33:18 salut et merci de t'attarder sur mon cas , c'est sympa =)
Après une relecture du post , je me rend compte que c'est pas très clair du tout !! mais je m'embrouille un peu (normal je suis noob) Je vais essayer de mieu me faire comprendre . j'utilise donc apache 2 et bind9 les vhosts et proftpd pour le serveur ftp !! J'ai par contre attribué un group et un utilisateurs au directory mentionné dans le vhost <Virtualhost> ServerName moi.fr DocumentRoot "/home/moi/www/" </VirtualHost> le moi fait parti du group users . Sinon pour les failles ... j'ai testé quand j'etais plus jeune des shells tout fait, par exemple un C99 qui donne a l'utilisateurs un controle quasi total de la machine !! !j'aimerai alors empecher l'heureux proprietaire du vhost , d'y uploader un tel script . (exemple) Après ta derniere ligne je me documente dessus !! merci de l'avoir mentionné ... car oui j'aimerai limiter un compte le compte moi ^^ j'espere que c'est clair ... je suis nul quand j'essai de me faire comprendre edit : extrait de mon /etc/passwd "moi:x:1000:100:moi:/home/moi:/bin/false elle:x:1002:100:elle:/home/elle:/bin/false" |