[ZynX]

Det absolut farligaste måste väll ändå vara php_exec ?

Där kunden har tillåtelse om dom fått in fina perl/bash script eller annat o köra dessa?

Ska man jobba efter utmaningar så ska man ju lyckas stänga av alla funktioner i C99 shell

Men det är ju tyvärr så att stänger man av så många funktioner så fungerar inte riktigt alla sidor optimalt. Sen är ju ModSecure 2.0 bra men kan vara problem ibland på vissa sidor.

Sen kan man alltid lösa mycket med Chroot men kan bli en jobbig lösning på alla säkerhetsproblem.

[abergman]

Ursprungligen postat av ZynX

Det absolut farligaste måste väll ändå vara php_exec ?

Där kunden har tillåtelse om dom fått in fina perl/bash script eller annat o köra dessa?

Ska man jobba efter utmaningar så ska man ju lyckas stänga av alla funktioner i C99 shell

Men det är ju tyvärr så att stänger man av så många funktioner så fungerar inte riktigt alla sidor optimalt. Sen är ju ModSecure 2.0 bra men kan vara problem ibland på vissa sidor.

Sen kan man alltid lösa mycket med Chroot men kan bli en jobbig lösning på alla säkerhetsproblem.

Då håller man sig sysselsatt iallafall.

Som kund och ägare av en site kan man inte heller bara sitta på rumpan och utgå från att det kommer att funka. Wordpress har blivit så pass stort nu att det finns mängder av människor som bara sitter och letar säkerhetshål för att kunna infektera andra siter, det kan vara hål i allt från core till en sketen plugin. Som kund måste man hålla sina siter uppdaterade, och lägga den tid det tar att underhålla sin plattform.

Som hostingbolag ska man se till att servern är uppdaterad och att man täppt till dom ev. hål som finns där, sen om man väljer att erbjuda applikationsbrandväggar eller inte, det får stå för varje leverantör och där får man som kund göra ett avvägande. Kommersiella regler för modsecure är inte gratis, och det är ytterliggare en aspekt man måste ta med i sina rutiner för underhåll och administration.

Jag kan personligen känna att modsecure kan vara ett tillval för dom som är beredda att betala för det, men jag tycker nog inte att man behöver ha det i sitt standarderbjudande.