sslug-teknik team mailing list archive

[Carsten Svaneborg <carsten.svaneborg@xxxxxxxx>]

Hej.

Prøv at se når jeg stopper apache så:  (Redhat 6.0)

init.d :httpd stop
Shutting down http:                                        [  OK  ]
init.d :ps uxa | grep "httpd"

Og der kommer intet. Genstarter jeg nu apache med:

init.d :httpd start
Starting httpd:                                            [  OK  ]
init.d :ps uxa | grep "httpd"
root       930  4.0  1.9  2384 1220 ?        S    14:17   0:00 httpd
nobody     932  0.0  2.0  2556 1296 ?        S    14:17   0:00 httpd
:
:
nobody     941  0.0  2.0  2556 1296 ?        S    14:17   0:00 httpd
root       944  0.0  0.6  1148  400 pts/0    S    14:18   0:00 grep
httpd

Der er pid 930 en root eget httpd, sikkert den jeg startede 
som så fork'ede til de andre.

Er dette normalt? Jeg har observeret det samme fenomen på en 
Debian computer. Det er jo et sikkerhedsproblem, hvis folk
er istand til at køre cgi scripts med en httpd der har root uid.

Det lykkedes mig, at lave en 'chown zqex /home/' på en computer,
hvor jeg ikke engang har root access, ved at bruge et cgi script
der formodeligt er kørt af en root httpd.

Nu skal jeg lige sige at jeg ikke forsøgte at hacke computeren,
og faktisk brugte chown på en af mine egne filer, men det havde
åbenbart denne side effekt. Men dette indså jeg først 2 uger
efter at folkene med root access, havde stukket hovederne sammen,
og undret sig hvorfor jeg havde hacket linux'boxen, og efterladt
et så tydligt spor.

-- 
  from Carsten Svaneborg     zqex@xxxxxxxx