Ubuntu-fr

gecko64

Souci de secu dans apache sous 7.10?

Bonjour je ne sais pas si c'est normal mais en regardant un peu, j'ai remarqué que le contenu du répertoire /etc/apache2/mods-enabled était accessible à  un utilisateur normal du systeme y compris en écriture!!!

Genre ceci:

gecko64@portable2:/etc/apache2/mods-enabled$ ls -ila
total 8
507813 drwxr-xr-x 2 root root 4096 2007-11-11 04:40 .
507812 drwxr-xr-x 7 root root 4096 2007-11-11 04:40 ..
507957 lrwxrwxrwx 1 root root   28 2007-11-11 04:40 alias.conf -> ../mods-available/alias.conf
507958 lrwxrwxrwx 1 root root   28 2007-11-11 04:40 alias.load -> ../mods-available/alias.load
507972 lrwxrwxrwx 1 root root   33 2007-11-11 04:40 auth_basic.load -> ../mods-available/auth_basic.load
507976 lrwxrwxrwx 1 root root   33 2007-11-11 04:40 authn_file.load -> ../mods-available/authn_file.load
507973 lrwxrwxrwx 1 root root   36 2007-11-11 04:40 authz_default.load -> ../mods-available/authz_default.load
507975 lrwxrwxrwx 1 root root   38 2007-11-11 04:40 authz_groupfile.load -> ../mods-available/authz_groupfile.load
507977 lrwxrwxrwx 1 root root   33 2007-11-11 04:40 authz_host.load -> ../mods-available/authz_host.load
507974 lrwxrwxrwx 1 root root   33 2007-11-11 04:40 authz_user.load -> ../mods-available/authz_user.load
507959 lrwxrwxrwx 1 root root   32 2007-11-11 04:40 autoindex.conf -> ../mods-available/autoindex.conf
507960 lrwxrwxrwx 1 root root   32 2007-11-11 04:40 autoindex.load -> ../mods-available/autoindex.load
507979 lrwxrwxrwx 1 root root   26 2007-11-11 04:40 cgi.load -> ../mods-available/cgi.load
507961 lrwxrwxrwx 1 root root   26 2007-11-11 04:40 dir.conf -> ../mods-available/dir.conf
507962 lrwxrwxrwx 1 root root   26 2007-11-11 04:40 dir.load -> ../mods-available/dir.load
507963 lrwxrwxrwx 1 root root   26 2007-11-11 04:40 env.load -> ../mods-available/env.load
507964 lrwxrwxrwx 1 root root   27 2007-11-11 04:40 mime.conf -> ../mods-available/mime.conf
507965 lrwxrwxrwx 1 root root   27 2007-11-11 04:40 mime.load -> ../mods-available/mime.load
507966 lrwxrwxrwx 1 root root   34 2007-11-11 04:40 negotiation.conf -> ../mods-available/negotiation.conf
507967 lrwxrwxrwx 1 root root   34 2007-11-11 04:40 negotiation.load -> ../mods-available/negotiation.load
507988 lrwxrwxrwx 1 root root   27 2007-11-11 04:40 php5.conf -> ../mods-available/php5.conf
507989 lrwxrwxrwx 1 root root   27 2007-11-11 04:40 php5.load -> ../mods-available/php5.load
507968 lrwxrwxrwx 1 root root   31 2007-11-11 04:40 setenvif.conf -> ../mods-available/setenvif.conf
507969 lrwxrwxrwx 1 root root   31 2007-11-11 04:40 setenvif.load -> ../mods-available/setenvif.load
507970 lrwxrwxrwx 1 root root   29 2007-11-11 04:40 status.conf -> ../mods-available/status.conf
507971 lrwxrwxrwx 1 root root   29 2007-11-11 04:40 status.load -> ../mods-available/status.load
gecko64@portable2:/etc/apache2/mods-enabled$

Je suis sous une version anglaise de Kubuntu 7.10 en 32bit.

Personnellement, ce qui me fait un peu peur c'est que un utilisateur pourrait désactiver ceux ci...
Enfin, si quelqu'un peut m'apporter plus d'infos la dessus, :-)

Merci d'avance
Gecko64

Dernière modification par gecko64 (Le 14/11/2007, à 02:36)

maskott

Re : Souci de secu dans apache sous 7.10?

tous les utilisateurs...qui peuvent utiliser "sudo"....
les permissions accordées le sont quand même qu'au utilisateurs du groupe "root"

effectivement je viens de regarder sur un serveur 7.10, avec apache2
mais pour écrire dans ce dossier il faut quand mm utiliser sudo, donc si tu veux empêcher ça, tu peux limiter les utilisateurs ayant accès à  cette commande

---

Backups are for wimps. Real men upload their work to an ftp server and have everybody mirror it. - Linus Torvalds
                                                                               
[RESOLU] dans les posts qui le sont, merci
(Et si vous y arrivez tout seul, indiquez aussi la solution, remerci)

gecko64

Re : Souci de secu dans apache sous 7.10?

Oui mais dans le cas d'une suppression, en 777 n'importe quel user du systeme peut retirer des modules sans sudo...
C'est surtout ce point la qui me fait un peu peur.
Enfin bon, si c'est normal alors ok

Merci

Dernière modification par gecko64 (Le 14/11/2007, à 03:58)

maskott

Re : Souci de secu dans apache sous 7.10?

non, il faut sudo
tu peux faire le test, en root tu crée un fichier, tu lui donne les droits 777 root:root
est essaye de l'enlever en utilisateur "normal"
...

apès ça dépend de o๠ta machine est placé dans le réseau, si c'est un serveur web pour un réseau local, ou pour internet, et de qui y a accès physiquement, tu peux limiter les accès au maximum si ça te chante (attention cependant à  laisser à  apache l'accès aux fichiers qui lui sont nécessaires) !!

---

Backups are for wimps. Real men upload their work to an ftp server and have everybody mirror it. - Linus Torvalds
                                                                               
[RESOLU] dans les posts qui le sont, merci
(Et si vous y arrivez tout seul, indiquez aussi la solution, remerci)

gecko64

Re : Souci de secu dans apache sous 7.10?

Ha ok mais c'est quand meme spécial vu qu'on a le droit ds le chmod...
Surement pcq ca appartient que a root alors...
Enfin, un grand merci en tout cas, ce me rassure un peu plus

bertrand0

Re : Souci de secu dans apache sous 7.10?

Ce sont des liens symboliques, comme l'indique le l dans "lrwxrwxrwx". Cela implique en particulier que ce sont les permissions du fichier cible qui sont prises en compte par le système. Les permissions d'un fichier lien sont donc toujours rwxrwxrwx.

La suppression ou l'ajout d'un lien (ou d'un fichier quelconque) est une opération d'écriture sur le répertoire contenant; c'est donc les permissions du répertoire qui jouent pour ces deux actions.

Dernière modification par bertrand0 (Le 14/11/2007, à 04:47)

---

Ceux qui écrivent comme ils parlent, quoiqu'ils parlent très bien, écrivent mal.
                                                            Buffon, Discours sur le style

gecko64

Re : Souci de secu dans apache sous 7.10?

Haaa oui ca je ne savais plus en effet!
Oui c'est juste c'est du ln -s

Ok bha je retire ce que j'ai dit alors

Thx!!!