https://kuutorvaja.eenet.ee/w/api.php?action=feedcontributions&feedformat=atom&user=I0Kuutõrvaja - Kasutaja kaastöö [et]2026-04-18T08:05:35ZKasutaja kaastööMediaWiki 1.43.6https://kuutorvaja.eenet.ee/w/index.php?title=Apache_mod_chroot&diff=9879Apache mod chroot2009-02-22T19:40:14Z<p>I0: /* Install */</p>
<hr />
<div>===Sissejuhatus===<br />
<br />
<br />
Chroot muudab protsessi juur failisüsteemi mingisse kindlasse kausta.<br />
Ehk teisitiöeldult protsess on lukustatud kindlasse kausta. Antud näites<br />
apache ja tema child protsessid pole võimelised pääsema kuhugi väljapoole chrootu.<br />
<br />
On üsnagi palju dokumente kuidas programme käivitada chroot keskkonnas. Mõned teenused<br />
(tinydns, dnscache, vsftpd) sisaldavad juba enda sees koodi ,et teostada chrootimist.<br />
Kuid päris paljud (näiteks apache) vajavad eraldi loodud "virtuaalset juurkataloogi"<br />
mis peab sisaldama kõiki faile mida programm vajab<br />
<br />
Sellist struktuuri luua on suhteliselt keerukas. Käivita programm, loe veateateid, <br />
kopeeri puuduvaid faile, käivita taaskord. Kui mõelda veel sellise süsteemi uuendamise peale - <br />
näiteks kui on turvaviga libssis ning pead uue versiooni kopeerima kahte erinevasse kohta.<br />
<br />
Lähemalt sellest apache chroot raskemast buildimise tehnikast lingil<br />
<br />
http://www.faqs.org/docs/securing/chap29sec254.html<br />
<br />
mod_chroot lihtsustab väga tugevalt apache käivitamist chroot keskkonnas. Nimelt<br />
chroot() käsk käivitatakse apache startimise protsessi lõpus. Kui librad on laaditud<br />
ning log failid avatud. Seetõttu ei pea mod_chrooti kasutades mingeid lisafaile<br />
kuhugi kindlasse kausta paigutada vaid saab hõlpsasti installitud apache chrootida.<br />
Järgnevalt sellest lähemalt.<br />
<br />
===Install===<br />
<br />
Gentoos hetkel portages (Thu Oct 25 12:36:38 EEST 2007) oli mod_chroot masked by keywords ning tuli umaskida enne<br />
käsku '''emerge mod_chroot'''<br />
<br />
FreeBSD omab nii mod_chroot kui ka mod_jail porti<br />
viimane kasutab FreeBSD jail süsteemi käske apache eraldamiseks.<br />
<br />
Mina kasutasin mod_chroot moodulit lisaks koos mpm-itk toega<br />
ning soovitaks maksimaalse turvalisuse saavutamiseks sellist kombinatsiooni.<br />
(mod_chroot koos MPM itk toega töötab kuni apache versioonini 2.2.9 Alates apache versioonist 2.2.10 on mod_chroot juba apache sisse ehitatud aga seda ainult worker, prefork ja peruser MPM'dega. Kuna MPM-itk sisse pole mod_chroot'u ehitatud siis antud meetodit (MPM-itk + mod_chroot) alates apache versioonist 2.2.10 kasutada ei saa.)<br />
<br />
Loome vajalikud kaustad. Kaust kus hakkab elutsema chrooditud apache on edaspidi '''/home/chroot'''<br />
<br />
mkdir /home/chroot/<br />
mkdir -p /home/chroot/var/www<br />
mkdir -p /home/chroot/var/run<br />
<br />
<br />
Seejärel tuleb laadida mod_chroot moodul ja lisada httpd.conf'i read<br />
<br />
ChrootDir '''/home/chroot/'''<br />
DocumentRoot /var/www/html<br />
PidFile /var/run/apache2.pid <br />
<br />
Pid tekib ka chroot sisse seega kui apache näeb seda kui kausta /var/run/<br />
Siis reaalselt süsteemipoolt on selleks /home/chroot/var/run<br />
<br />
Ning süsteemipoolt documentroot täisrada on /home/chroot/var/www/<br />
<br />
===Testimine===<br />
<br />
Testimiseks proovime php skriptiga liikuda chroodust välja.<br />
Tekitame kausta /home/chroot/var/www/html<br />
<br />
mkdir -p /home/chroot/var/www/html<br />
<br />
ja loome virtualhosti kuhu kirjutame kataloogiks<br />
<br />
/var/www/html<br />
<br />
Tekitame test php faili kausta /home/chroot/var/www/html<br />
Sisuks järgnev php kood<br />
mis avab $path muutujas antud kausta '''/var/''' ja näitab selle sisu.<br />
<br />
$path = "/var/";<br />
$dir_handle = @opendir($path) or die("Unable to open $path");<br />
while ($file = readdir($dir_handle)) {<br />
echo "$file";<br />
echo "< br >";<br />
}<br />
closedir($dir_handle);<br />
<br />
tulemus seda brauseris käivitades oleks<br />
<br />
www<br />
run<br />
<br />
<br />
muutes '''$path = "/etc/";'''<br />
<br />
Vastuseks<br />
<br />
Unable to open /etc/<br />
<br />
Muidugi pole mod_chroot mõeldud vaid php chrootimiseks. Selleks<br />
on juba php's endas hulga vahendeid. Mod_chroot on mõeldud kõigi<br />
apache moodulite vahele üheks turvakihiks (näit mod_perl, mod_ruby jpt)<br />
<br />
===Lingid===<br />
<br />
http://core.segfault.pl/~hobbit/mod_chroot/<br />
<br />
Apache Chrootimist võimaldab ka mod_security<br />
<br />
http://www.modsecurity.org/documentation/modsecurity-apache/2.1.3/modsecurity2-apache-reference.html#N1034D<br />
<br />
Enamikel juhtudel piisab samuti lihtsalt php open basedir paikaseadmiest<br />
<br />
http://ee.php.net/features.safe-mode</div>I0