Bash/Shell Wrapper

S

stickybit

Member
Servus,

nach mehreren erfolgreichen Einbrüchen in die Wordpress-Installationen bei einigen Usern, bin ich am Überlegen, wie ich das Problem lösen sollte.

Die exec() usv. sind aktiviert und müssen leider aktiviert bleiben. Ich dachte, wenn ich eine Art Wrapper für den Shell aufsetze, quasy die Übergabe von HP in die Shell abfange und checke, was da alles in die Shell ausgespuckt wird. Ich würde dann nur bestimmte Befehle durchlassen, der Rest kommt einfach nicht durch.

Meine Fragen an die Experten.

1. Mache ich einen gedanklichen Fehler oder könnte das wirklcih die lösung sein?
2. Weiß jemand, ob für das Problem bereits eine fertige Lösung gibt? Ich möchte ungern das Rad neu erfinden.

Für Ideen, Anregungen und jeden Hinweis bin sehr dankbar!

Grüße
Andre
 
Ganz schlechte Idee. Das reduziert nicht nur die Geschwindigkeit deines Servers und erhöht den Load, sondern du reduzierst deine Möglichkeiten schon mit der Wahl der Sprache. Mit Shell-Scripts kommst du nicht sonderlich weit. Gerade wenn es um Verarbeitung von Strings und Regular Expressions geht, wird es kompliziert. Da bieten andere Sprachen einfachere, bessere, mehr Möglichkeiten.

Ich weiß von jemanden, der auch Wordpress einsetzt, dass der mod_security für den Apache2 nutzt.
Man kann das ganze sogar so weit treiben, dass z.B. das Posten von Shell-Code nicht mehr funktioniert.
Primär soll mod_security vor möglichen Sicherheitslücken in php-skripten schützen.
Beispiele gibt es genügend: http://dlmax.org/blog/mod_security-settings-for-wordpress-3-x

Falls du den Mod einsetzt, dann lies auch die Dokumentation dazu: http://www.modsecurity.org/
Die Regeln kann man sogar kaufen: https://ssl.trustwave.com/web-application-firewall
Im Netz wirst du aber sicherlich genügend Beispiele finden.
 
Last edited by a moderator:
You must log in or register to reply here.
Back
Top