Forum Debian Users Gang

Paad · 2010-12-30 08:40:47

Witam

Próbujemy z kolegą postawić serwer www. W celu jakiego zabezpieczenia wymyśliliśmy, że zamkniemy go w chroocie.
Niestety po wywołaniu polecenia

Kod:

www:/home/srv-admin# /usr/sbin/chroot /home/chrapache /usr/sbin/apache2

mam błąd:

Kod:

/usr/sbin/chroot: line 1: syntax error near unexpected token `"/home/chrapache/",'
/usr/sbin/chroot: line 1: `execve("/home/chrapache/", ["/home/chrapache/", "/usr/sbin/apache2"], [/* 17 vars */]) = -1 EACCES (Permission denied)'

niestety nie rozumiem o co chodzi, macie może jakieś pomysły?

p.s: czy wogóle takie zabezpieczenie serwera jest dobrym pomysłem czy może proponujecie coś innego?

Pozdrawiam

SpeedVin · 2010-12-30 09:35:42

Witam!
Może najpierw wejdź do chroot'a i z jego poziomu odpal dopiero apache ;)

Jacekalex · 2010-12-30 10:51:13

Zainteresuj się skryptami jailkit lub makejail, a odpalanie apacha spróbuj zrobić tak:

Kod:

chroot /katalog-chroot  /etc/init.d/apache2 start

Minio · 2010-12-30 11:05:13

Jeśli interesuje Cię [i]security by isolation[/i], prawdopodobnie lepiej zainteresować się wirtualizacją. Wyjście z chroota wydaje się znacznie łatwiejsze niż wyjście z maszyny wirtualnej.

Przy okazji truizm: chroot czy maszyna wirtualna nie zapewnią żadnego bezpieczeństwa Apachowi. Jest to dodatkowa warstwa na którą natknie się włamywacz przy próbie penetrowania całego systemu po tym jak złamie Apacha. Jednak Twoim obowiązkiem jest niedopuszczenie do sytuacji, gdy Apache zostaje złamany.

azhag · 2010-12-30 11:25:47

[quote=Minio]Jeśli interesuje Cię [i]security by isolation[/i], prawdopodobnie lepiej zainteresować się wirtualizacją.[/quote]
Lub rozwiązaniem typu [deb]lxc[/deb] (coś jak jail z BSD).

Jacekalex · 2010-12-30 13:06:23

[quote=Minio]Jeśli interesuje Cię [i]security by isolation[/i], prawdopodobnie lepiej zainteresować się wirtualizacją. Wyjście z chroota wydaje się znacznie łatwiejsze niż wyjście z maszyny wirtualnej.

Przy okazji truizm: chroot czy maszyna wirtualna nie zapewnią żadnego bezpieczeństwa Apachowi. Jest to dodatkowa warstwa na którą natknie się włamywacz przy próbie penetrowania całego systemu po tym jak złamie Apacha. Jednak Twoim obowiązkiem jest niedopuszczenie do sytuacji, gdy Apache zostaje złamany.[/quote]
Chroot ma sens wyłącznie w przypadku takiego małego [url=http://grsecurity.net/][b]drobiazgu[/b][/url]:

Kod:

grep -i chroot config*gen4
CONFIG_GRKERNSEC_CHROOT=y
CONFIG_GRKERNSEC_CHROOT_MOUNT=y
CONFIG_GRKERNSEC_CHROOT_DOUBLE=y
CONFIG_GRKERNSEC_CHROOT_PIVOT=y
CONFIG_GRKERNSEC_CHROOT_CHDIR=y
CONFIG_GRKERNSEC_CHROOT_CHMOD=y
CONFIG_GRKERNSEC_CHROOT_FCHDIR=y
CONFIG_GRKERNSEC_CHROOT_MKNOD=y
CONFIG_GRKERNSEC_CHROOT_SHMAT=y
CONFIG_GRKERNSEC_CHROOT_UNIX=y
CONFIG_GRKERNSEC_CHROOT_FINDTASK=y
CONFIG_GRKERNSEC_CHROOT_NICE=y
CONFIG_GRKERNSEC_CHROOT_SYSCTL=y
CONFIG_GRKERNSEC_CHROOT_CAPS=y
# CONFIG_GRKERNSEC_CHROOT_EXECLOG is not set

Pozdrawiam
;-)

Ostatnio edytowany przez Jacekalex (2010-12-30 13:08:06)

Time (s)	Query
0.00014	SET CHARSET latin2
0.00005	SET NAMES latin2
0.00097	SELECT u., g., o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='18.227.209.101' WHERE u.id=1
0.00074	REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '18.227.209.101', 1732280290)
0.00047	SELECT * FROM punbb_online WHERE logged<1732279990
0.00086	DELETE FROM punbb_online WHERE ident='3.16.82.182'
0.00068	SELECT topic_id FROM punbb_posts WHERE id=161581
0.00004	SELECT id FROM punbb_posts WHERE topic_id=18006 ORDER BY posted
0.00056	SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=18006 AND t.moved_to IS NULL
0.00004	SELECT search_for, replace_with FROM punbb_censoring
0.00121	SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=18006 ORDER BY p.id LIMIT 0,25
0.00076	UPDATE punbb_topics SET num_views=num_views+1 WHERE id=18006
Total query time: 0.00652 s

Forum Debian Users Gang

Ogłoszenie

#1 2010-12-30 08:40:47

Paad - Użytkownik

Apache w środowisku chrootowanym

Kod:

Kod:

#2 2010-12-30 09:35:42

SpeedVin - Fan Jogurtu

Re: Apache w środowisku chrootowanym

#3 2010-12-30 10:51:13

Jacekalex - Podobno człowiek...;)

Re: Apache w środowisku chrootowanym

Kod:

#4 2010-12-30 11:05:13

Minio - Użyszkodnik

Re: Apache w środowisku chrootowanym

#5 2010-12-30 11:25:47

azhag - Admin łajza

Re: Apache w środowisku chrootowanym

#6 2010-12-30 13:06:23

Jacekalex - Podobno człowiek...;)

Re: Apache w środowisku chrootowanym

Kod:

Stopka forum

Informacje debugowania