Hosting Seguros ? Medidas
Es muy habitual escucharme decir que los webhosting en general son ambientes muy inseguros. En general esto es verdad. La mayoría de los proveedores de Webhosting toman nulas o muy pocas medidas de seguridad en sus máquinas y, sin saberlo, pueden poner en peligro a todos los usuarios que tienen sitios webs alojados en hosting externos. En realidad es muy sencillo saber si el servidor donde tenemos nuestras páginas alojadas cuenta con alguna medida de seguridad…
La situación es la siguiente. Normalmente los proveedores de hosting entregan cuentas de usuario a sus clientes y un espacio en el disco duro (un directorio) donde ellos alojarán su contenido web. Por ejemplo:
/var/www/clientes/ferreteria
/var/www/clientes/farmacia
/var/www/clientes/clientevip
Si somos el cliente “farmacia”, al acceder por FTP (debiesen activar SFTP) llegaremos de inmediato al directorio /var/www/clientes/farmacia/ pero nuestro cliente FTP dirá que estamos en /. Eso se llama CHROOT (Change Root) o cambiar la raíz. Básicamente se “enjaula” la cuenta en un directorio personal para que no pueda retroceder en la ruta y, por ejemplo, pueda acceder al contenido de /var/www/clientes/. Si se pudiese retroceder arbitrariamente directorios por FTP entonces tenemos un grave problema de seguridad ya que toda la lista de clientes, y por ende sus contenidos, quedarían a vista y paciencia de cualquiera con cuenta FTP. Afortunadamente el 99% de los webhosting toma esta precaución, pero hay otra mucho más poderosa y también mucho más olvidada.
Si no está habilitado el modo seguro (safe_mode, comprobable con phpinfo() en la sección PHP Core ) de PHP, lo cual es muy probable, entonces podemos probar subiendo un pequeño script a la carpeta pública www de nuestra cuenta del hosting que tenga el siguiente código bajo el nombre de pruebasimple.php (no olviden de ponerle los tag de apertura y cerrada de PHP y borrarlo cuando terminen):
system (”ls /”);
echo ”
“;
system (”cat /etc/passwd”);
y accedemos a él en http://www.dominio.com/pruebasimple.php. Lo ideal del caso es que ese script no muestre nada y aparezca en blanco la pantalla. Pero si muestra algo similar a esto:
aquota.user auto-whitelist bin boot dev etc home initrd lib lost+found media misc mnt opt proc quota.user root sbin scripts selinux srv sys tmp usr var
root:x:0:0:root:/root:/bin/bash bin:x:1:1:bin:/bin:/sbin/nologin daemon:x:2:2:daemon:/sbin:/sbin/nologin adm:x:3:4:adm:/var/adm:/sbin/nologin lp:x:4:7:lp:/var/spool/lpd:/sbin/nologin sync:x:5:0:sync:/sbin:/bin/sync shutdown:x:6:0:shutdown:/sbin:/sbin/shutdown halt:x:7:0:halt:/sbin:/sbin/halt mail:x:8:12:mail:/var/spool/mail:/sbin/nologin news:x:9:13:news:/etc/news: uucp:x:10:14:uucp:/var/spool/uucp:/sbin/nologin operator:x:11:0:operator:/root:/sbin/nologin games:x:12:100:games:/usr/games:/sbin/nologin gopher:x:13:30:gopher:/var/gopher:/sbin/nologin ftp:x:14:50:FTP User:/var/ftp:/sbin/nologin nobody:x:99:99:Nobody:/:/sbin/nologin dbus:x:81:81:System message bus:/:/sbin/nologin vcsa:x:69:69:virtual console memory owner:/dev:/sbin/nologin
……
significa que no hay suficiente control sobre los directorios y el servidor de hosting permite ver contenido abritrariamente, lo cual indica implicitamente que no es seguro. Todo eso es un tema de permisos especiales que se aplican a los directorios de tal manera de que no sean accesibles por el usuario “http”, “apache”, www”, “nobody” o cual sea el nombre con el cual corre Apache.
Popularity: 3% [?]
Necesitas identificarte para poder dejar tu comentario.