Безопасность DxWebServer

[avk]

Функции запуска приложений и работы с файлами в скриптах DxWebServer фактически представляют уязвимость для сервера (включая его полный контроль). Эксплойт прилагать не буду, но, проверил теорию - работает.

[admin]

Что вы предлагаете? Можете прислать в личку пример эксплойта?

[avk]

Написал в личку.

Что вы предлагаете?

Не пускать веб-сервер и базу в открытый интернет. По крайней мере до какой-то локализации проблемы или особого рецепта развертывания (в изолированной среде, например).
Сам метод вскрытия под ногами не валяется, нужны некоторые навыки, но мало ли.

[cordek]

Так скрипты только разработчик может написать

[avk]

Так скрипты только разработчик может написать

"Железный" аргумент.

[admin]

Можно ограничить права доступа для веб-сервера, чтобы случайно или преднамеренно не повредить систему. Для этого необходимо создать пользователя с ограниченными правами и запускать сервер от его имени.

Создаем нового пользователя:

Код: Выделить всё

# useradd dxweb
# passwd dxweb

В конфигурационный файл сервиса добавляем параметр User:

[Unit]
Description=DataExpress Web Server
After=network.target

[Service]
Type=simple
User=dxweb
ExecStart=/opt/dxwebsrv_linux64/dxwebsrv -r
RemainAfterExit=yes
TimeoutSec=25
Restart=on-failure
RestartSec=5

[Install]
WantedBy=multi-user.target

Убедитесь, что только у владельца есть права на запись.

Код: Выделить всё

# ls -l
-rw-r--r-- 1 root  root   11572 May 14  2024 LICENSE.txt
-rw-r--r-- 1 root  root    1619 May 14  2024 NOTICE.txt
drwxr-xr-x 3 dxweb root    4096 Jan  8 10:38 cache
-rwxr-xr-x 1 root  root 8707536 Jan  8 10:37 dxwebsrv
-rw-r--r-- 1 root  root     201 Aug 25  2024 dxwebsrv.service
-rw-r--r-- 1 root  root    8317 Apr  5  2024 except.dic
-rw-r--r-- 1 root  root    1150 May  1  2022 favicon.ico
drwxr-xr-x 2 root  root    4096 Jan  6 22:21 fb5
drwxr-xr-x 2 root  root    4096 Jan  6 22:21 html
drwxr-xr-x 2 root  root    4096 Jan  6 22:21 img
drwxr-xr-x 2 root  root    4096 Jan  6 22:21 languages
-rw-r--r-- 1 root  root 4226888 Apr 10  2024 libPadeg.so
-rw-r--r-- 1 root  root  862048 Jun 19  2019 libfbclient.so
drwxr-xr-x 2 dxweb root    4096 Jan  6 22:25 logs
-rw-r--r-- 1 root  root       0 Jan  8 10:55 out.txt
drwxr-xr-x 2 root  root    4096 Jan  7 11:20 templates


Каталоги cache и logs должны быть доступны для записи. Сделать это можно, например, сменив владельца на dxweb:

Код: Выделить всё

# chown dxweb cache
# chown dxweb logs

Перезапускаем сервис:

Код: Выделить всё

# systemctl restart dxwebsrv

Если у вас в системе нет разрешения на запись для прочих пользователей, то скрипты веб-сервера могут записывать и создавать файлы только в каталогах cache и logs.

Чтобы запретить чтение из важных каталогов, можно воспользоваться списками контроля доступа ACL. Например:

Код: Выделить всё

# apt-get install acl
# setfacl -m u:dxweb--- /etc