웹 호스팅 보안 문제는 어떻게 해야하는게 좋을까요?

eunhyeon의 이미지

CAFE24 호스팅을 잘 쓰고 있지만,
저렴한 상품은 제공하는 용량이 작고, 서브도메인을 지원하지 않아 불편하였습니다.

곧, 계정 만료일이 다가와서 새로운 업체를 찾아보던중 ○호스팅 서비스가 좋은 것 같아 신청하였네요.
무슨 보안을 그리 철저히 하는지 cat, wget, find를 포함한 일부 커맨드를 막아두었더군요.

CAFE24 호스팅은 아파치가 사용자 권한으로 실행되어 group/other에 권한을 주지 않았는데,
이 호스팅 업체는 apache 권한으로 실행되는 바람에 열심히 노가다로 권한을 바꿔 이전을 완료했지요.
(find나 스크립트 안쓰고 쉽게 바꾸는 법 있나요? -.-)

그러데 나름 보안 테스트하다보니 심각한 문제가 있네요.
apache에서 제 계정 뿐만 아니라 모든 계정의 파일을 볼 수 있더군요.

passwd를 보면 계정 목록을 볼 수 있고, 계정을 알면 서브도메인을 알고,
서브도메인을 알면 대충 어느 것이 깔려 있는지 알고, 대충 어느 것이 깔려 있는지 알면 서버 접속 정보까지도 알아 낼 수가 있겠더군요.

1~2년 된 신생업체도 아니고, 5년이 넘게 호스팅 서비스를 제공하는 곳이 이렇다는 게 신기할 정도에요.

설마 이 것이 리눅스/아파치 호스팅의 한계는 아닐 것이라고 생각합니다. 안전한 호스팅 서비스를 제공할 수 있는 방법에 대해 이야기 했으면 좋겠네요.

정태영의 이미지

우선 아파치의 per_user mpm 등을 사용하면 말씀하신 것처럼 사용자 권한으로 아파치를 돌릴 수 있습니다만 동일 사양에서 메모리를 훨씬 많이 사용합니다.

각 계정 별로 (directory지시자 등을 이용) web_basedir 을 설정할 경우 php를 통해 다른 계정의 파일을 접근하는 것은 막을 수 있습니다만 php에 한해서 얘기고 cgi로 도는 프로그램은 어쩔 수가 없습니다.

suexec를 통하면 cgi로도 다른 계정에 접근을 막을 수 있을 것 같긴 한데, 크게 관심이 없어서 열심히 살펴보진 않았습니다.

--
오랫동안 꿈을 그리는 사람은 그 꿈을 닮아간다...

http://mytears.org ~(~_~)~
나 한줄기 바람처럼..

오랫동안 꿈을 그리는 사람은 그 꿈을 닮아간다...

http://mytears.org ~(~_~)~
나 한줄기 바람처럼..