sslug-teknik team mailing list archive

[Troels Arvin <tarvin@xxxxxxxxx>]

Carsten Svaneborg wrote:
> Er dette normalt?
Ja.

> Det er jo et sikkerhedsproblem, hvis folk
> er istand til at køre cgi scripts med en httpd der har root uid.
Så vidt jeg har forstået laver processen med root-rettighed intet andet
end at fork'e child-Apache'er, og udfører altså ikke noget alm.
HTTPD-arbejde. Du er nødt til at have en root-proces til at starte
show'et for at kunne få adgang til port 80.

> Det lykkedes mig, at lave en 'chown zqex /home/' på en computer,
> hvor jeg ikke engang har root access, ved at bruge et cgi script
> der formodeligt er kørt af en root httpd.
Mit bud er, at dette er et særtilfælde; de må dér have patch'et Apache
til at acceptere at køre som root. Eller CGI-scriptet er slette ikke
noget script men derimod et suid-program.

Hvis man er usikker på Apache, kan man køre den i chroot'et tilstand. Se
evt. relevante afsnit i http://sunsite.auc.dk/lasg/lasg-0-0-9.pdf

-- 
Troels Arvin
Copenhagen, Denmark
http://www.mdb.ku.dk/tarvin/