OpenForum RSS: Подробности об улучшениях безопасности инфраструктуры Savannah https://www.opennet.dev/openforum/vsluhforumID3/73231.html Разработчики хостинга свободных проектов Savannah.gnu.org (http://savannah.gnu.org/), недавно подвергшегося (http://www.opennet.ru/opennews/art.shtml?num=28836) взлому, обобщили (http://www.mail-archive.com/savannah-hackers-public@gnu.org/msg03476.html) внесенные в настройки web-сервера изменения, направленные на повышение безопасности системы (а также сайтов gnu.org и nongnu.org):<br><br><br><br>- С сервера удален mod_php;<br>- Запрещена обработка страниц по символическим ссылкам;<br>- Отключена поддержка SSI (Server Side Includes), за исключением основного сайта;<br>- Запрещен запуск CGI-скриптов из SSI-вставок;<br><br>- Доступ к mod_python ограничен только внутреннему скрипту new-savannah-project;<br>- Для всех GNU-проектов в настройках Apache указано:<br><br>&lt;font color="#461b7e"&gt;<br> Options Indexes MultiViews Limit<br> AllowOverride Indexes FileInfo Limit<br>&lt;/font&gt;<br><br><br>- Для всех не GNU-проектов в настройках Apache указано (отключен режим FileInfo, при котором в .htaccess допускалось использование сл...<br><br>URL: http://www.mai Подробности об улучшениях безопасности инфраструктуры Savann... (solardiz) https://www.opennet.dev/openforum/vsluhforumID3/73231.html#7 Sat, 11 Dec 2010 11:16:06 GMT &gt; интересно а как они узнали что была SQL инъекция?<br><br>Анализировали логи. (Я сам логов не видел.)<br><br>&gt; т.е. стоял mod_security всё-таки<br><br>Нет.<br><br>&gt; и логи не потерли???<br><br>Да. Не потерли.<br> Подробности об улучшениях безопасности инфраструктуры Savann... (Аноним) https://www.opennet.dev/openforum/vsluhforumID3/73231.html#6 Sat, 11 Dec 2010 02:43:10 GMT &gt;С сервера удален mod_php; <br><br>Бурные аплодисменты в зале! :)<br> Подробности об улучшениях безопасности инфраструктуры Savann... (гы) https://www.opennet.dev/openforum/vsluhforumID3/73231.html#5 Fri, 10 Dec 2010 19:12:14 GMT интересно а как они узнали что была SQL инъекция? т.е. стоял mod_security всё-таки и логи не потерли???<br> Подробности об улучшениях безопасности инфраструктуры Savann... (solardiz) https://www.opennet.dev/openforum/vsluhforumID3/73231.html#4 Fri, 10 Dec 2010 18:42:00 GMT Вот еще подробности по паролям: http://www.openwall.com/lists/announce/2010/12/10/2<br> Подробности об улучшениях безопасности инфраструктуры Savann... (б.б.) https://www.opennet.dev/openforum/vsluhforumID3/73231.html#3 Fri, 10 Dec 2010 17:02:06 GMT Надеюсь, серьёзный аудит коснулся ВСЕХ проектов GNU, а не только того, который самый дырявый оказался?<br> Подробности об улучшениях безопасности инфраструктуры Savann... (solardiz) https://www.opennet.dev/openforum/vsluhforumID3/73231.html#2 Fri, 10 Dec 2010 16:58:06 GMT Вообще-то, было внесено гораздо больше изменений, даже я принял в этом небольшое участие (помог прикрутить passwdqc):<br><br>http://savannah.gnu.org/maintenance/Compromise2010<br>http://git.savannah.gnu.org/cgit/savane-cleanup.git/<br><br>Конечно, много проблем (неоправданных рисков) еще остается...<br> Подробности об улучшениях безопасности инфраструктуры Savann... (Аноним) https://www.opennet.dev/openforum/vsluhforumID3/73231.html#1 Fri, 10 Dec 2010 15:52:09 GMT Лучше бы закрылы его. Во-первых, ничего ценого там не хостится, во-вторых, он гнушный, тормозной и дырявый.<br>