Sicherheitsaspekte

[max06]

Hi ihr

Ich hab da ma ne Frage... mal wieder...

Momentan habe ich ISP-Config3 in einem VServer laufen. Dieses soll später im Produktiveinsatz verwendet werden. Ich möchte damit Webspace anderen zur Verfügung stellen.

Leider lässt irgendwie die Sicherheit zu wünschen übrig...
Zum Beispiel php: Ich konnte mit einer php-shell (keine Namen) in jedes Verzeichnis des Servers wechseln und mir jede beliebige Datei (auch /etc/passwd & co) ansehen, was ein ziemlich großes Risiko ist.

Gibt es irgendwo eine Anleitung, die die Absicherung eines Servers mit ISPConfig3 beschreibt?

Ispconfig2 funktioniert zwar, allerdings fehlt mit die Unterstützung für Jailkit. (Außerdem sieht ISPConfig3 um Welten besser aus und unterstützt mehrere Server in einem Interface)

Ich hoffe auf positive Antworten
Grüße,
max06

 

[Till]

Dazu müsstest Du erstmal sagen, über welche methide Du php eingebunden hast.

 

[max06]

Gute Frage...

welches der 4 Möglichkeiten soll ich am besten für einen Webserver mit mehreren Websites nutzen? (Momentan fehlt mir das Wissen über die Unterschiede der Möglichkeiten)

Grüße,
max06

 

[Till]

Das hängt davon ab, wie schnell bzw. wie sicher die Seiten sein müssen und wieviele Seitenabrufe sie haben.

Suphp is recht sicher, sollte aber nur für Seiten mit wenigen Aufrufen eingesetzt werden. fastcgi ist schnell und sicher, batucht ber mehr Ressourcen im "Leerlauf" und lohnt sich daher nicht unbedingt für Seiten mit wenigen Aufrufen.

PHP als CGI ist auch sicher, wenn Du zusätzlich safemode aktivierst.

 

[max06]

Jaha, das sieht dochma gut aus

Ich habe eben testweise CGI aktiviert, zumindest habe ich es nicht geschafft, aus dem Verzeichnis auszubrechen.

phpinfo() sagt: Safemode aus, Openbasedir ist auf den entsprechenden Ordner gesetzt.

Sollte das für genügend Sicherheit sorgen? Gibt es noch etwas, was ich als Hoster beachten sollte?

Grüße,
max06

 

[Till]

Gibt es noch etwas, was ich als Hoster beachten sollte?

Bevor Du Webseiten hostest solltest Du Dich mal mit den verschiedenen Möglichkeiten zur Absicherung von Scripten auf Servern vertraut machen.

Sollte das für genügend Sicherheit sorgen?

Jein. Du solltest ggf. noch Funktionen wie exec usw abschalten. Siehe oben.

 

[planet_fox]

Gibt es irgendwo eine Anleitung, die die Absicherung eines Servers mit ISPConfig3 beschreibt?

Zur absicherung eines Rootservers gibts 1000 Möglichkeiten und viele Lösungen sind hier und auf Howtoforge.com zu finden und natürlich auf unzähligen Seiten die man über die Google Suche findet.