https://www.opennet.ru/openforum/vsluhforumID8/5654.html Доброго времени суток! <br> FreeBSD 7.0<br> Связка Apache 1.3.27 mod_php, ФТП-сервер pure-ftpd с аутентификацией через "виртуальных пользователей" (UID, GID один, получается). Отсюда - клиентские файлы имеют одного владельца. В принципе, для FTP-сервера не проблема, а вот с Апачем сложнее - пользователи видят (в т.ч., чтение-запись, само собой) файлы друг друга. Подскажите пожалуйста, можно ли решить данную проблему не использую системных (/ect/passwd) пользователей?<br> https://www.opennet.ru/openforum/vsluhforumID8/5654.html#5 Sun, 06 Apr 2008 11:27:28 GMT пользователю рута в jail не даем. Апач работает от nobody или от пользователя. Это позволяет использовать хардлинки и в результате места практически не занимает. Если нужно дать таки пользователю в jail рута, то смотрим моддержку MAC в freebsd, сам с этим не возился, но есть предположение, что не дать jailовым рутам менять содержимое харлинкнутых библиотек и бинарей. <br><br><br> https://www.opennet.ru/openforum/vsluhforumID8/5654.html#4 Sat, 05 Apr 2008 06:11:10 GMT &gt;Да никак. То что вы отключаете shell не помешает мне его написать <br>&gt;на php за пару минут. Если есть suhosin или аналоги, то <br>&gt;будет чуть труднее, но все равно возможно. <br>&gt;Меняйте принципиально схему, вариантов много. На freebsd можно jail использовать, получите чуть <br>&gt;меньшую производительность, зато удобство настройки и никаких проблем с безопасностью . <br>&gt;<br><br>Сервер HP, Xeon 3.4 с 2ГБ ОЗУ. Сильно "массовый" хостинг не устраивается, но сейчас на нём крутится около пятнадцати (всего) сайтов + используется как POP/SMTP-сервер. Я, в принципе, тоже присматривался к jail, но отталкивает необходимость ложить все библиотеки в отдельную папку (как тут некоторые говорили - делать копию всей системы ).<br><br>Хотя... Наверное, всё-таки, попробую. Если кому-нибудь будет интересно - отпишусь о результатах :) О потере в дисковом пространстве, увеличении нагрузки на сервер..<br> https://www.opennet.ru/openforum/vsluhforumID8/5654.html#3 Fri, 04 Apr 2008 03:12:55 GMT Да никак. То что вы отключаете shell не помешает мне его написать на php за пару минут. Если есть suhosin или аналоги, то будет чуть труднее, но все равно возможно. <br>Меняйте принципиально схему, вариантов много. На freebsd можно jail использовать, получите чуть меньшую производительность, зато удобство настройки и никаких проблем с безопасностью . <br> https://www.opennet.ru/openforum/vsluhforumID8/5654.html#2 Thu, 03 Apr 2008 07:47:34 GMT &gt;ЕМНИП для php можно указывать basedir, однако эффект примерно как от пугала <br>&gt;на огороде - самых бестолковых отпугнет да и только. <br><br> В принципе, так и думал. Проблема - пользователи не должны получать доступ к шеллу. Файрволом это всё закрыто, но ведь есть ещё скрипты, эмулирующие шелл-клиенты. <br> Если для пользователя как шелл указывать nologin - то не заходит и по ФТП :( Как быть?<br> https://www.opennet.ru/openforum/vsluhforumID8/5654.html#1 Thu, 03 Apr 2008 02:59:13 GMT ЕМНИП для php можно указывать basedir, однако эффект примерно как от пугала на огороде - самых бестолковых отпугнет да и только. <br>