utok na apache

[Petr Stehlik]

Tomáš Koželuh píše v Ne 20. 09. 2009 v 11:49 +0200:
> Já bych řekl, že celý problém leží někde jinde. Už na začátku toho článku je
> popsáno, jak se útočník do toho Apache dostane - přes hesla v Total
> Commanderu a FTP. 

ano, to útočník může vždycky, to je běžná chyba uživatele, že mu utečou
hesla, ale ten útočník by pak neměl mít možnost měnit běžící procesy,
IMHO.

> Další věc, které jsem si tam všiml, že kontroluje, jestli může zapisovat do
> adresáře, IMHO velice jednoduchá oprava je zakázat Apachi zápis do
> index.php

je dost obvyklé, že web umožňuje nahrávání souborů (třeba obrázků),
takže Apache či PHP nakonec někam právo zápisu mají, a toho ten útočník
zneužije.

> Ještě mě napadá jeden způsob obrany, když poběží Apache v chroot, neměl by
> se být schopen shodit.

Apache se nijak neshazuje, ten útočný kód se "jen" připojí mezi apache
thready a obsluhuje pak http požadavky (ne všechny, jen některé, ale to
nevím, jestli je úmyslně nebo je to výsledkem toho, že je jen jedním z
mnoha threadů). 

Petr