Странное поведение ПХП в safe mode режиме

[Net.Ru]

</span><table border="0" align="center" width="95%" cellpadding="3" cellspacing="1"><tr><td>Цитата (Антон Нехороших @ 03 Дек. 2002, 19:21)</td></tr><tr><td id="QUOTE"></span><table border="0" align="center" width="95%" cellpadding="3" cellspacing="1"><tr><td>Цитата (Net.Ru @ 03 Дек. 2002, 13:15)</td></tr><tr><td id="QUOTE"></span><table border="0" align="center" width="95%" cellpadding="3" cellspacing="1"><tr><td>Цитата (Антон Нехороших @ 01 Дек. 2002, 23:40)</td></tr><tr><td id="QUOTE">[/QUOTE]<span id='postcolor'>
</span><table border="0" align="center" width="95%" cellpadding="3" cellspacing="1"><tr><td>Цитата </td></tr><tr><td id="QUOTE">
Живой пример у нас, safe mode = off, php как модуль, апача 1.хх, все работает под uid
php и апачу на предмет этого не трогали
[/QUOTE]<span id='postcolor'>
open_basedir на ~user и local/lib/php, выполнение с правами nobody - на выполнению php с uid конкретного пользователя это совсем не похоже.[/QUOTE]<span id='postcolor'>
как раз выполнение с правами юзера, а не nobody [/QUOTE]<span id='postcolor'>
phpinfo() везде у вас говорит 'User/Group - nobody(65534)/8080'. Может быть у меня глюки, но я вижу здесь только nobody, но не юзера.

[Антон Нехороших]

ну там как история с сараем
а так любой процес будет пущен под uid и любая работа с файлами идет под uid

[avik]

Ув. Антон Нехороших.
Вы здесь только поумничать или коллегам помочь?

По моему, здесь место только для второго варианта, хотя и 1&gt;2 = решение проблемы, это пошло бы.
Но я вижу только 1.

[Антон Нехороших]

</span><table border="0" align="center" width="95%" cellpadding="3" cellspacing="1"><tr><td>Цитата (avik @ 15 Дек. 2002, 17:23)</td></tr><tr><td id="QUOTE">Ув. Антон Нехороших.
Вы здесь только поумничать или коллегам помочь?

По моему, здесь место только для второго варианта, хотя и 1&gt;2 = решение проблемы, это пошло бы.
Но я вижу только 1.[/QUOTE]<span id='postcolor'>
Коллег я должен знать лично и выпить с ними не один литр водки, чтобы уж потом расказывать вещи о которыйх вы ни как догодаться не можете.

[ENELIS]

Если у каждого клента выделенный IP адрес, то вопрос решается. А если shared IP, тогда уже сложнее.

[dim-dim]

Сообщение от [b

Цитата[/b] (Антон Нехороших @ 01 Декабря 2002, 23:40)]Общепринятое заблуждение
Живой пример у нас, safe mode = off, php как модуль, апача 1.хх, все работает под uid
php и апачу на предмет этого не трогали

Используете FastCGI для этого?

[Антон Нехороших]

Сообщение от [b

Цитата[/b] (dim-dim @ 31 Января 2003, 10:33)]

Используете FastCGI для этого?

Нет, к php мы fastcgi не прикручивали, он как модуль работает и так великолепно.

[Антон Нехороших]

Сообщение от [b

Цитата[/b] (Guest @ 01 Февраля 2003, 21:55)]

Ну славо богу, нашелся хоть один который пораскинул мозгами

Сообщение от [b

Цитата[/b] ]Чуть сложнее - open_basedir на пользовательский каталог, mount -o suiddir, патч php чтобы popen работал через suexec wrapper (замена 1 строки). Вариант покрасивее первого, но создает новые уязвимости из-за которых придется таки патчить по мелочам php в разных местах.

Добавления
трогаем ядро, что бы suiddir человеческий был
в open_basedir кладем /bin/sh ну и права делаем ему 10611 и uid и nogroup и schg

Сообщение от [b

Цитата[/b] ]Судя по всему, у valuehost этот вариант и если быть педантом, php-скрипт работает все-таки с правами сервера (nobody), а не владельца скрипта. Хотя в большинстве случаев это не важно.

если еще чуток подумать то получится нормальная вещь и про safe mod можно забыть

[Net.Ru]

Сообщение от [b

Цитата[/b] (Антон Нехороших @ 01 Февраля 2003, 22:27)]если еще чуток подумать то получится нормальная вещь и про safe mod можно забыть

Возможно получится.

У нас работает другой вариант, так как вариант с suiddir и open_basedir без safe_mode слишком дырявый и малофункциональный.

[Антон Нехороших]

Сообщение от [b

Цитата[/b] (Net.Ru @ 03 Февраля 2003, 13:46)]

Возможно получится.

У нас работает другой вариант, так как вариант с suiddir и open_basedir без safe_mode слишком дырявый и малофункциональный.

работает как часы
дыр необнаружено