Posted By: Keson (Keson) on 'CZunix'
Title:     Re: kdo si cte moje php?
Date:      Mon Mar 13 16:06:50 2006

> Cau,
> 
>  na uzivatelskym serveru (SunOS 5.9) mame 1000 uzivatelu. Jejich adresare 
> napr. v /home/staff/..... Jejich WWW obvykle v
> /home/staff/uzivatel1/web-docs.
> 
>  Vzajemne si uzivatele prihlaseni na server muzou cist obsah svych web-docs,
> 
> coz je problem (read by others je zaplej tak aby na WWW mohl Apache a read 
> by group je zaplej defaultne). Napr. pokud ma nekdo ve svych php skriptech 
> pripojeni k databaze, ma tam i heslo, a je samozrejme nezadouci aby to
> nejaky 
> jiny uzivatel videl. Tohle se da obejit tim, ze se bud vypne read by 
> group nebo owner dotycneho souboru nastavi jen na Apache (problem nastane
> kdyz 
> je potreba zase ten soubor zeditovat).  

ja to resival nasledovne:

<?
        ...
        $password=`/home/keson/.secret/passwords`;
        $link = mysql_pconnect($db_host, $user, $password);

kde prava na binarku ~/.secret/passwords jsou nastavena jen na 'execute'

programek passwords pak vypadal nejak takhle:

        #include <stdio.h>
        #include <string.h>
        #include <stdlib.h>

        int main (int argc, char **argv)
        {
                char * pwd;

                pwd = getenv("PWD");
                if ((pwd == NULL) || (strcmp(pwd,
"/home/keson/public_html/db_conn")))
                        exit(0);

                printf("hsadf347&^&^31423ad");
        }

tj. zkontroluje nejaky znak, ktery te identifikuje (zde PWD), a preda heslo 
PHPku.

Tohle "reseni" pochopitelne nema s bezpecnosti nic spolecneho, bezne 
script-kiddies to vsak muze zmast :)
 

> 
> Nyni otazka:
> 
>  jak zjistim kdo z uzivatelu se takhle prochazel po zminenych adresarich a 
> stahoval si k sobe citlive soubory?

dost tezko; pokud to neni Trusted Solaris s detailnim logovanim

posli mail: "zapomel jsem heslo, kdo mi ho pomuze najit vyhraje..." :-)

                                              Keson
* * * * * * * * * * * * * 
  a stejne je hezky :-)
* * * * * * * * * * * * *