VERAT hosting - moguce listanje sve do root-a servera

Cao,

radim na jednom sajtu koji je hostovan kod Verat-a. Sasvim slucajno sam, jednim suvisnim "../" u PHP skripti, uspeo da izlistam sadrzaj VDOMAINS foldera - folder iznad mog korisnickog foldera, gde se nalaze sve prezentacije. To me je zacudilo, pa sam dodao jos jedan "../" i uspeo da izlistam sadrzaj root-a servera. Nisam Linux znalac, ali me ovo brine.

Da li je jos neko ovo primetio? Razlog iz kog pisem je taj sto sam ih odmah kontaktirao (bilo je to pre 5 dana) i vidim da njihovi LAZY administratori jos uvek nisu nista ucinili povodom toga.

Ovo je jedno veliko narusavanje privatnosti, jer se na ovaj nacin mogu preuzeti source fajlovi svih PHP skripti, da ne pricamo o nekim jos senzitivnijim informacijama, ili kreativnijim korisnicima.

Pozdrav

To je tako vec godinama i ne verujem da ce sada reagovati i srediti...

Potpis

Pozdrav, NenadS!

Sredice kad im to dodje glave i kada nestanu mnogi podaci sa mnogih sajtova, to je poznat "propust" u php-u koji se vrlo lako popravlja, naravno potreban je iskusan php strucnjak da ogranici neke php funkcije, mada s obzirom da je to verat, a i sami smo svedoci ozbiljnosti nasih ISPova kao hosting provajdera, mislim da je sve jasno.

Potpis

Najjeftiniji hosting u Srbiji - hosting Srbija | Reseller hosting Srbija | VPS serveri | Cloud serveri | Dedicated serveri

Taj propust na Veratu je poznat otkako je Verat poceo da daje uslugu hostinga, a tome ima ihahaj godina. Taj propust je bio dovoljan da izgube mnogo korisnika, ybog masovnog "upadanja" u sajtove i krađe lozinki i podataka, a neverovatno je da još uvek to nisu sredili.

Potpis

http://pedja.supurovic.net - http://wireless.uzice.net - Besplatni .RS domeni - Mikrotik uputstva - YT9TP - OpenStreetMap Srbija

Po mojim zapazanjima kod 90% hosting kompanija mozes da listas fajlove na serveru, ali to ne znaci i da mozes da ih menjas ili brises.

Ne znaci ali mozes da procitas config.php i konektujes se na bazu :)

Potpis

Pozdrav, NenadS!

Zbog toga je Verat omiljen među decom hakerima. Očas posla obore sve sajtove na serveu i mogu da se hvale okolo kako su veliki hakeri :)

Potpis

http://pedja.supurovic.net - http://wireless.uzice.net - Besplatni .RS domeni - Mikrotik uputstva - YT9TP - OpenStreetMap Srbija

A jel zna neko da li i kod kojih jos domacih hosting kompanija postoji ovakav propust?

Ne podrzavam takav 'vid zabave' medju mladima ali jednostavno, Verat treba da ucini sve sto je u njihovoj moci da to spreci ali ocigledno nemaju zelje ili volje da se posvete tome...

Potpis

Pozdrav, NenadS!

Ma kakva volja, to je 15-20 min posla za nekog ko zna sta radi.

Potpis

Najjeftiniji hosting u Srbiji - hosting Srbija | Reseller hosting Srbija | VPS serveri | Cloud serveri | Dedicated serveri

Ako su zbog tog propusta izgubili makar jednog klijenta to je dovoljan razlog da angazuju nekog da im to sredi.

Na moje iznenadjenje, izgleda da su sredili!

Verovatno je neko od njihovih procitao temu ovde, ne verujem da im je doslo iz d*peta u glavu samo na osnovu mog poziva.

Mozda su tek sada imali jedno 20 min slobodnog vremena za podesavanje servera :).

Potpis

Najjeftiniji hosting u Srbiji - hosting Srbija | Reseller hosting Srbija | VPS serveri | Cloud serveri | Dedicated serveri

Ne, izgleda da su samo na ls komandu stavili neki limit,
ali postavljanjem legalne skripte za web administraciju foldera, sve se opet vidi.

I kod Verat-a ne mozes da brises ili menjas fajlove, jer su sebe zastitili, a bas ih briga za korisnike.

Radim na sajtovima koji su hostovani u Americi i probao sam istu stvar na tri hosta (hostmonster, ipower i bluehost)

Mogu da listam fajlove samo u svom user folderu i nikako iznad!

Shared hosting nije bas tako lako zastiti... treba koristiti suPHP da se svaka scripta pokrece pod svojim user-om, zatim da se za svaki hosting podesi open_basedir, da se neke opasne funkcije iskljuce ako ne umeju drugacije da ih ogranice da ne mogu da prave probleme ostalima...

Poz

Potpis

Pozdrav, NenadS!

Ne samo da su zabranili ls komandu, vec su nesto menjali oko privilegija za upload fajlova.

Koristim jednu PHP skriptu za upload fajlova na server iz browser-a, a sada, nakon izmene, to vise ne radi.

Izgleda da im je ipak potreban neki strucnjak, a ne da ovako vrsljaju po konfiguracijama, nemajuci pojma sta bi u stvari trebalo uraditi.

Toliko o hostingu u Srbiji.

To može da bude samo dobro, a ne loše. Na taj način podiže se sigurnost servera. Ipak za upload možes koristiti standardni FTP protokol.



Molim Vas da temu ne pretvarate u strani vs. domaći provajderi, pošto su takve već obrađene!

Potpis

DropBox
dodatni prostor

Testirao sam ovo na par servera domacih hosting kompanija. Kod svakog sa najobicnijim webshellom mozes da vidis sve sistemske fajlove i foldere, naravno bez dozvole sa izmenu. Naravno direktorijum /home je bio zasticen (nije se moglo pristupiti).

Da li na veratu moze i u /home da se udje? Ako moze onda je to katastrofalno, ali zaista cisto sumnjam da bi ljudi koji sebe nazivaju profesionalcima dopustili tako nesto sobzirom da je za ispravku toga potrebna jedna komanda samo.

Ne slazem se, radi se o galeriji koja radi pod Smarty template sistemom i sve upload-ovane slike se kesiraju, tako da upload putem FTP-a nije moguc.
Dakle, za ispravan rad je potrebno da se omoguci upload putem browser-a, iz admin sekcije galerije.

Da li je resenje da paranojom prikrivaju neznanje? Mislim da nije.