Как обезопасить апач от phpRemoteView.php

[FreeSpace]

Yukko:
список программного обеспечения, которое должно быть установлено в обязательном порядке на каждой машине

Если нет возможности доходчиво объяснить этому "техническому директору" разницу между сервером и воркстейшеном, то я тебе искренне соболезную

Croaker:
А php реализован как модуль апача, а не cgi?

Вот это очень уместное уточнение!
Предложенный мною способ годится только в том случае, если php установлен как cgi-приложение.
Запускать несколько апачей под каждого отдельного пользователя я считаю высшей степенью помешательства, так что под SAPI, насколько я знаю, это не осуществимо.

[Croaker]

FreeSpace:
Запускать несколько апачей под каждого отдельного пользователя я считаю высшей степенью помешательства, так что под SAPI, насколько я знаю, это не осуществимо.

И тем не мнее так делают и весьма успешно.
Почему помешательство, если не секрет?

[Yukko]

FreeSpace
сочувствия приняты, легче не стало...

[FreeSpace]

Croaker:
Почему помешательство, если не секрет?

Причин можно привести очень много, начиная от гибкости настройки и заканчивая обновлением версий или латанием дыр.
Но самый весомый аргумент, имхо, - это производительность.
Может быть на хостинге с парой-тройкою юверов этот способ можно относительно успешно применять, но если это крупный хостинг с тысячами юзеров? Представь себе хотя бы тот объем памяти, который будут занимать все эти апачи...
Кроме того, насколько я знаю, не всё так просто.
Апач слушает 80 порт, а сотня апачей, запущенных из-под разных юзверей, один и тот же порт слушать не могут. Следовательно, нужно вводить демона-координатора, который будет слушать 80-ый прот и "расфасовывать" запросы по разным апачам, закрепленными за разными виртуалхостами.

PS: Возможно я тут бред написал, с никсами я пока что на "Вы".

[Croaker]

FreeSpace
Я тоже не юникс-гуру, но попробую тебя опровергнуть

Когда речь идет про апач для каждого пользователя, никто не говорит, что каждому пользователю надо ставить по дистрибутиву. Исполняемые файлы одни, а конфигурационныен файлы разные для всех пользователей.

Про память.. не берусь утверждать 100% но по-моему (ориентируюсь по опыту) основная нагрузка возникает, когда веб-сервер обрабатывает запрос, а сам процесс httpd, просто висящий в памяти жрет не так много. Соответственно разница, когда у тебя висит (утрировано) 100 процессов httpd и они обрабатывают 1000 запросов, либо когда у тебя висит 1 процесс httpd и те же 1000 запросов, разница не критична. За то ты можешь, если постараешься, отдельному процессу (и соответственно всем запросом от процесса) выдать лимит памяти, и пользователь будет жрать ее ровно столько, сколько ему положено. Когда 1 апач на всех, по памяти ограничить не получиться.

80-ый порт и демон координатор - ну тут я точно знаю как делать (так сделали мы) - ствишь Squid, который прослушивает запросы по внешним ip адресам \\ именам доменов, а потом перенаправляет запрос на web-сервер, который в свою очередь настроен на прослушивание внутренних ip-адресов и своего порта, который может быть от 80-ого отличен. Ну и ответ клиенту происходит так же.

В теории где-то так, на практике реалзовано пока не все.

[FreeSpace]

Croaker
Вопросами администрирования серверов (а мы сейчас обсуждаем именно это) до сих пор я никогда не занимался - меня заботливо отгородил от этого админ, чтобы я сосредоточился на пыхе
Так что я не хочу продолжать дискуссию, используя в качестве аргументов собственные непроверенные домыслы.

[Croaker]

[OFF]Сколько можно про пыху? [/OFF]

[FreeSpace]

[OFF]А что такое?
Мы вообще во флейме, между прочим
Про что хотим - про то и говорим...[/OFF]

[docker]

Блин, вы чего? Для каждого пользователя апач запускать и настраивать?

Вы думаете что вы говорите? Вы где-нибудь видели, чтобы на хостинге для каждого сайта свой сервер ставили?
Что за бред? В первый раз такое слышу!!!

И еще вы утверждаете, что это единственный способо обезопасить сервер от phpRemView.php.

Знаете, мне кажется я знаю способ проще, надежней и проверенней: php_base_dir. Дальше нее апач php не пропустит, как бы там скрипт не извращался! Только я с этим спобом и пришел сюда к вам.
Вы же это проигнорировали и стали обсуждать установку для каждого клиента хостинга - своего сервера!!! Ну не бред?

[Croaker]

docker, родной

первое: если ты что-то слышишь в первый раз, прежде чем называть это бредом подумай 10 раз. Если не помогло - подумай еще 10. Даже если ты продолжаешь так думать, не стоит говорить об этом вслух, потому, что не обязательно, что ты прав.

второе: это ты сюда пришел, ты спросил совета, мы не напрашивались. Если ты считаешь, что ты самый умный, я не понимаю - почему ты задаешь вопросы. Если ты считаешь ответ не правильным, оспорь его аргументировано. если не хватает для аргументов знаний - лучше промолчи.

третье (по теме): 1 копия процесса httpd - это не отдельный веб-сервер для каждого сайта. Я для тебя разжую: это
конфигурационный файл httpd.conf, который содержит виртуальные хосты для отдельно взятого пользователя. хостов может быть хоть один, хоть тысяча. Но для каждого пользователя - по отдельному конфигурационному файлу, с возможностью пользователем этот conf-файл редактировать. Исполняемые файлы для всех пользователей одни и те же, конфигурационный файлы сделаны по одному шаблону, но с разным значениями. Естественно эти файлы генерируются автоматически.  Вопрос тебе, гуру, по ходу дела: как дать пользователю 1) самому редактировать httpd.conf на хостинге, при этом не давая возможности даже при большом желании изменить чужие настройки 2) как сделать пользователю лимит на виртуальные директории (например 10 штук, в рамках его тарифного плана)? Интересно послушать твои мысли, пхп_бейс_дир.

Что касается проще, так проще всего вообще отключить серверные скрипты на сервере. 100% аптайм будет.

Что касается php_base_dir - так вот представь на секундочку, что тебе а) нужо пропустить пользователя выше чем php_base_dir указан, например в /var/lib/php/pear/.

И еще открою секрет: php скрипт можно запустить из командной строки при доступе по SSH. Реши проблему.