flotte
14.04.05, 12:42
Frage zu Sicherheit cgi/Perl auf Webservern:
Wenn ich ein Suse 9.2 (händisch) als Webserver konfiguriere (Minimalkonfiguration) und dann ein Script wie dieses
http://www.coder-world.de/cw/seite__pagewebdesignsysinfo.html
ausführe, dann kann ein normaler Webuser fast alles sehen. Bis hin zur Serverauslastung, laufenden Prozessen und Logfiles...
Das sieht er auch, wenn das Script mit suexec und einem eigens angelegtem User für den betreffenden Virtual Host ausgeführt wird.
Man kann jetzt manuell diverse Rechte ändern (Logfiles etc.), aber letztlich stellt mich das nicht zufrieden. Liegt es an der Suse-Distri, das diese Rechte so "ungünstig" gesetzt sind? PS. An "harden-Suse" traue ich mich nicht ran.
Ist debian in diesen Punkten besser vorkonfiguriert? Spiele schon seit längerem mit dem Gedanken umzuschwenken, wenn ein neuer Server fällig wird.
Wenn ich ein Suse 9.2 (händisch) als Webserver konfiguriere (Minimalkonfiguration) und dann ein Script wie dieses
http://www.coder-world.de/cw/seite__pagewebdesignsysinfo.html
ausführe, dann kann ein normaler Webuser fast alles sehen. Bis hin zur Serverauslastung, laufenden Prozessen und Logfiles...
Das sieht er auch, wenn das Script mit suexec und einem eigens angelegtem User für den betreffenden Virtual Host ausgeführt wird.
Man kann jetzt manuell diverse Rechte ändern (Logfiles etc.), aber letztlich stellt mich das nicht zufrieden. Liegt es an der Suse-Distri, das diese Rechte so "ungünstig" gesetzt sind? PS. An "harden-Suse" traue ich mich nicht ran.
Ist debian in diesen Punkten besser vorkonfiguriert? Spiele schon seit längerem mit dem Gedanken umzuschwenken, wenn ein neuer Server fällig wird.