[debian]Shell-php script in ftp folder

[woutur]

Ik ontdekte vandaag dat ik in mijn ftp folder van mijn server een phpshellscript heb staan wat dmv van php je een shell geeft. Dit shellscriptje stond slechts in de ftp folder alwaar het niet door een browser of iets dergelijks aangeroepen kan worden. De user waaronder de persoon toegang heeft gekregen (simpele wachtwoorden, tis een redelijke publieke ftp) tot mijn ftp server heeft ook geen ssh login. Na even het scriptje geprobeerd te hebben schrok ik toch wel ietsjes. Je kan toch redelijk mooi de hele server mee rondneuzen en ook wat normale commando's geven.

Mijn vraag is: hoe serieus is deze bedreiging. Ik zeg op het eerste gezicht is het niet echt iets waar ik me zorgen om moet maken maar misschien zie ik iets over het hoofd.

[LinuX-TUX]

Zo lang je gebruikt maakt van vsftpd of proftpd, zou ik me niet zo druk maken. Maak je gebruik van hele extreme FTP servers waarbij je een heel hoop kan configureren en eigen scripts op los kan laten, dan zou ik me zorgen gaan maken.

Weet even niet welke FTP servers dat waren, maar als je op IRC zit dan zie je ook wel eens van die botjes die communiceren met FTP daemons, als jouw FTP server dat allemaal toelaat, dan zou ik OF zorgen dat dat ding dicht stond OF een andere FTP server uitzoeken. Immers zijn de servers met alle extra mogelijkheden ook vaak de lekste van allemaal.

edit:

Is chroot() naar een locatie buiten het webgedeelte anders niet allesdekkend voor jouw angst/probleem?

[ Voor 10% gewijzigd door LinuX-TUX op 21-07-2005 21:16 ]

[woutur]

Voor de duidelijkheid: ik gebruik proftpd. Tja, maar het is een beetje voor het eerst dat ik zoiets zie. Ik schrok er gewoon een beetje van. Ik heb nog wat logs nagetrokken en gezien dat er een paar logins zijn geweest (pogingen) om via ssh in te loggen. Maar geen van mijn ftp useraccounts heeft een shell. Nu zou ik dus eigenlijk nog even de ftp map weten te scheiden van de http map. Het hele eieren eten hier is dat er wel een map public_html in de ftp map staat maar dat die niet schrijfbaar is via ftp. Was dat wel het geval dan was ik wellicht nu het bokje geweest.

*edit. Ik zie nu dat dit niet zo mooi is. Met wat simpele truuks had dit heel gemakkelijk tot een uitvoerbaar scriptje op mijn webserver kunnen wezen. Daarmee hadden ze bijv. alle documenten in alle folders kunnen lezen op mijn server. Ik zie dus nu in dat 1) er een stevig wachtwoord op moet komen (gedaan) 2) http gedeelte afgescheiden moet worden van het ftp (directory structuur dus veranderen, nog even uitvissen hoe ik dat doe).