| |
| 1.1, Nicknnn, 11:14, 19/10/2009 [ответить] [смотреть все]
| +/– |
Ещё неплохо создать /etc/hosts
sys и proc нужно просто монтирвать без rbind
а также примонтировать devpts
proc /home/chroot_web/proc proc defaults 0 0
sys /home/chroot_web/sys sysfs defaults 0 0
/dev /home/chroot_web/dev none bind 0 0
devpts /home/chroot_web/dev/pts defaults,gid=5,mode=620 0 0
man debootstrap короче
|  | | |
| |
| |
| |
| |
| |
| |
| |
| 8.14, shutdown now, 22:30, 21/10/2009 [^] [ответить] [смотреть все]
| +/– |
есть такой апач: Apache 2 ITK MPM и Peruser MPM, но всё не так просто, как кажется, в результате он медленнее и ресурсов ему больше нужно
|  | | |
|
|
|
|
|
|
|
| 1.12, mma, 07:56, 20/10/2009 [ответить] [смотреть все]
| +/– |
А зачем создавать полное окружение - нужно все-голишь чтобы сервис умел запускаться в чруте (стартует рутом, после того как все модели загрузит) переходит в чрут. Апач это умеет, в openbsd так работает без проблем даже с mod_php.
|  | | |
| |
| 2.13, mma, 07:58, 20/10/2009 [^] [ответить] [смотреть все] [показать ветку]
| +/– |
но при этом чрут сам посебе не назовешь полноценной изоляцией, нужно как минимум запретить чрутитьтся всем кроме root (ну и еще какие то мелочи не помню), поэтому без grsecurity или selinux чрут сам по себе только усложняет жизнь взломщику но не предотращает взлом
|  | | |
| |
| 3.16, sjinks, 15:44, 23/10/2009 [^] [ответить] [смотреть все]
| +/– | |
> нужно как минимум запретить чрутитьтся всем кроме root
А с каких пор CAP_SYS_CHROOT есть у кого-то, кроме рута?
|  | | |
| |
| 4.17, mma, 19:12, 23/10/2009 [^] [ответить] [смотреть все]
| +/– |
я не правильно выразился, но суть думаю понятна как можно выйти за пределы chroot и почему он не особо полезен без подсистем безопасности?
|  | | |
| |
| 5.18, sjinks, 17:11, 24/10/2009 [^] [ответить] [смотреть все]
| +/– |
>я не правильно выразился, но суть думаю понятна как можно выйти за
>пределы chroot
Без рутовых привилегий и при условии, что у демона нет открытых файлов/каталогов вне chroot это всё же проблематично.
>и почему он не особо полезен без подсистем безопасности?
chroot изначально не проектировался как средство безопасности. Тем не менее, chroot() + chdir() + setuid() = неплохой дополнительный барьер для хакера.
|  | | |
| |
| |
| 7.20, sjinks, 20:02, 24/10/2009 [^] [ответить] [смотреть все]
| +/– |
>chroot в chroot и fchdir
>
>От этого ведб стандартными способами не защитишся
Да, только второй chroot() можно сделать, если у демона есть CAP_SYS_CHROOT (т.е. если демон под рутом сидит).
Обычный пользователь делать chroot() не умеет.
http://linux.die.net/man/2/chroot
|  | | |
|
|
|
|
|
|
| 1.21, jura12, 04:14, 13/11/2009 [ответить] [смотреть все]
| +/– |
вы не написали зачем все это надо, какие преимущества и недостатки. вкрадце вводную надо было дать.
|  | | |
|
|