Niet beveiligde hosting server van freehosting...

[Verwijderd]

Ik heb een website die gehost word bij freehosting en kan met behulp van php en passthru() echt alles op die server doen.

Is dit normaal? Zou ik iets willen killen dan kan het zo...httpd.conf: virtual domain erbij en een SIGHUP-je

[Verwijderd]

dit is uiteraard niet normaal, maar tja...tis freehosting he...

[Verwijderd]

't Is maar goed voor freehosting dat er mensen zijn die alles kopieren van phpfreakz.com en verder niet gaan experimenteren zoals ik.

Zoals passthru('cd / && ls -R');

Dat duurt wel lang maar dan heb je wel een leuke index het is trouwens een dual 733 ofzo...PIII. 65 dagen up. Als ik die server beheerde......

[Verwijderd]

Maar kun je root commando's uitvoeren dan?

Bierkameel heeft wel wat tips om je rechten te testen

[Verwijderd]

hee kan je niet voor mij ff een fijn acountje maken Ik ben hard op zoek naar een goede php hoster!!

[Xandrios]

Op zondag 01 juli 2001 22:18 schreef www.lb-theone.nl het volgende:
hee kan je niet voor mij ff een fijn acountje maken Ik ben hard op zoek naar een goede php hoster!!

goed id, ik wil ook wel

[Mark]

Als je alles kunt dan hebben ze Apache onder de user root draaien en dat lijkt mij bijzonder sterk.
Probeer maar eens iets te kopieren en kijk wie de eigenaar word.

[Verwijderd]

zeer slordig, ik hoop maar dat mijn account niet op die server staat, ik heb trouwens al een betere server gevonden

[Verwijderd]

Op zondag 01 juli 2001 22:24 schreef RedRoon het volgende:
Als je alles kunt dan hebben ze Apache onder de user root draaien en dat lijkt mij bijzonder sterk.
Probeer maar eens iets te kopieren en kijk wie de eigenaar word.

Je kunt Apache niet als root draaien..

[Mark]

Op zondag 01 juli 2001 22:31 schreef [nielsonline] het volgende:

[..]

Je kunt Apache niet als root draaien..

Jawel hoor:

Error: Apache has not been designed to serve pages while
running as root. There are known race conditions that
will allow any local user to read any file on the system.
If you still desire to serve pages as root then
add -DBIG_SECURITY_HOLE to the EXTRA_CFLAGS line in your
src/Configuration file and rebuild the server. It is
strongly suggested that you instead modify the User
directive in your httpd.conf file to list a non-root
user.

[Verwijderd]

Op zondag 01 juli 2001 22:13 schreef [nielsonline] het volgende:
Maar kun je root commando's uitvoeren dan?

Bierkameel heeft wel wat tips om je rechten te testen

hehe
Maar probeer inderdaad is iets, heb je bijvoorbeeld useradd rechten Of kun je de /etc/passwd file schrijven ?

[The Source]

Op zondag 01 juli 2001 22:18 schreef www.lb-theone.nl het volgende:
hee kan je niet voor mij ff een fijn acountje maken Ik ben hard op zoek naar een goede php hoster!!

Moet je vooral bij freehosting zijn...

[Verwijderd]

Op zondag 01 juli 2001 22:35 schreef RedRoon het volgende:

[..]

Jawel hoor:
[..]

Hmmmmokay, zover heb ik niet gelezen

[Verwijderd]

cat /etc/mail/access

daar mag je (als het goed is ) alleen als root bij.

[Verwijderd]

Op zondag 01 juli 2001 22:18 schreef www.lb-theone.nl het volgende:
hee kan je niet voor mij ff een fijn acountje maken Ik ben hard op zoek naar een goede php hoster!!

en dan wil je een account bij Freehosting?

[Mark]

snelste manier om het te checken is:

- touch file
- ls -al file > test.htm

test.htm in je browser openen

[Verwijderd]

Je kunt alleen browse, voor derest niks

[Mark]

Op zondag 01 juli 2001 23:26 schreef Generaal_Putlucht het volgende:
Je kunt alleen browse, voor derest niks

Dat is ook logisch, je gebruikt de uid van de user waar de webserver onder draait.
Laat deze nu ook toevallig bij alle sites kunnen..

[Verwijderd]

Je zou dus eventueel wel passwords kunnen jatten uit scripts voor mysql

ALS freehosting dat ondersteunt ?

[Verwijderd]

Op zondag 01 juli 2001 23:37 schreef pimderks het volgende:
Je zou dus eventueel wel passwords kunnen jatten uit scripts voor mysql

ALS freehosting dat ondersteunt ?

Nope, is een ander root passwd.

[man-o-script]

okokokok, ik weet niet wat er bij mij op de server allemaal gehost wordt, maar het ziet er veelbelovend uit

TN_kont_a02.JPG
TN_kut_a03.JPG
TN_negerin_a02.JPG
TN_tiet_a09.JPG

hmmm...

[Verwijderd]

hehehe
maar denk dat ze wel logs bijhouden..
je kan er mijn inziens dus echt wel probs mee krijgen.

[Verwijderd]

Op zondag 01 juli 2001 23:50 schreef [nielsonline] het volgende:

[..]

Nope, is een ander root passwd.

Van gewone website users bedoel ik, maar ach; dan ben je ook al aardig triest bezig.

Freehosting is shit, wisten we al langer dus snap niet dat er nog steeds mensen intrappen...

[Verwijderd]

touch --h geeft wel output maar maken van file onveilig in /bin of /etc wil niet.

/tmp misschien...

wget http://http.distributed.net/pub/dcti/current-client/dnetc-linux-x86-elf.tar.gz werkt.

Ik ga hem niet runnen! Als iemand dit ziet van freehosting... :Securen!!!

Owner van tar.gz is btw nobody

[Mark]

Op maandag 02 juli 2001 01:33 schreef wrecker het volgende:
touch --h geeft wel output maar maken van file onveilig in /bin of /etc wil niet.

/tmp misschien...

wget http://http.distributed.net/pub/dcti/current-client/dnetc-linux-x86-elf.tar.gz werkt.

Ik ga hem niet runnen! Als iemand dit ziet van freehosting... :Securen!!!

Owner van tar.gz is btw nobody

Dus (bijna) niks aan de hand, dit is namelijk de standaard apache user en deze moet inderdaad alle sites kunnen lezen en op een aantal plaatsen schrijven (/tmp en log-dirs).

[Verwijderd]

Waarvoor al deze ophef?

Ik durf toch wel bijna te garanderen dat je geen superuser privileges hebt!

Het feit dat je geen bestanden in /bin en dergelijke directories kan maken geeft toch wel genoeg aan of niet?

En geloof maar dat op een server waar meerdere mensen/bedrijven shell-toegang hebben, securitty een BIG issue is. Iets waarin ze niet zomaar iets dergelijks laten gebeuren.

[ACM]

Ik had hem al eerder moeten sluiten.
Kloten op een server is in principe gewoon illegaal.