epgrecを安全に運用するのバックアップ(No.2)

バックアップ一覧
差分を表示
現在との差分を表示
ソースを表示
epgrecを安全に運用するへ行く。
- 1 (2011-04-24 (日) 00:42:59)
- 2 (2011-04-24 (日) 01:05:14)
- 3 (2011-10-21 (金) 22:57:56)

はじめに
侵入された場合の被害
対策
対策手順
参照元URL
コメント欄

はじめに †

epgrecはPT2などの地デジチューナーをブラウザから番組予約でき、日経Linuxでも紹介される程便利なツールです。
しかし、プライベートでの運用が前提であるためセキュリティについては不安な面もあります。
実際、epgrecをターゲットとした侵入方法が存在するようです。

↑

侵入された場合の被害 †

侵入者は、epgrec/thumbs配下に任意のコマンドを実行できるa.phpを仕掛けます。さらに、それを見えにくくするためか、...というディレクトリを作り、その配下に....phpを仕掛けます。
....php（a.phpも同じ）をブラウザで開くと、コマンド入力欄とExecuteボタンが表示されます。
コマンドの結果はExecuteの下に表示されるようです。
実行結果
上の結果からすると、どうやらapacheユーザーでコマンドが実行されるようです。
もし、apacheユーザーがアクセスできるファイルに重要なファイルが含まれていたら大変な事になります。
侵入者が作ったと思われるターゲットのIPアドレスやドメイン名がネットに公開されています。自分のドメイン名が載っていて恥ずかしい。。

↑

対策 †

侵入手順の詳細は不明ですが、epgrec内のphpファイルに何かしらのコマンドを挿入し、誤操作を起こしたのは間違いないと思います。
これを防ぐにはapacheの書き込み権限を無くすしか方法がありませんが、そうすると肝心の録画ファイルも生成されません。
つまり、epgrec本体に対策が施されない限り、epgrec配下を他人に見られないようにユーザー認証を行うしか方法はありません。
日経Linuxでも認証をかけるべき趣旨の記述がありました。

↑

対策手順 †

↑

パスワードファイルを生成する †

rootでhtpasswdを実行する。

# htpasswd -c /etc/httpd/conf/htpasswd roi
New password:
Re-type new password:

上記コマンドでユーザー「roi」のパスワードが生成される。
（既存のhtpasswdファイルにユーザーを追加する場合は-cオプションはつけてはならない）

↑

Apacheの設定を変更する †

httpd.confを開き、epgrecに認証の設定を追記する

# vi /etc/httpd/conf/httpd.conf

追記内容

<Directory "/var/www/html/epgrec">
   AuthType Basic
   AuthName "Private"
   AuthUserFile /etc/httpd/conf/htpasswd
   Require valid-user
   --（既存の設定）--
</Directory>

↑