DirectAdmin - это удобная панель управления хостингом. Легкость в настройке, легкость в использовании!
ДиректАдмин - это самая быстрая и нересурсоемкая панель из всех существующих коммерческих панелей управления для хостинга. Бесплатные и регулярные обновления версии панели DirectAdmin на протяжении всего времени ее использования заметно выделяют ее среди других.



Прикрываем уязвимость HTTPoxy на серверах с Directadmin

22.07.16 10:20

18 июля была опубликована информация о наборе уязвимостей, получившем название HTTPoxy. Используя его, злоумышленники могут подменять переменную окружения HTTP_PROXY, что позволяет им перенаправлять http-запросы к веб-приложениям на свои ресурсы. Здесь мы расскажем как защитить сервер с Directadmin.

На данный момент возможны как минимум два способа прикрыть уязвимость на сервере с панелью Директадмин

Обновление конфигов с Custombuild (ревизия 1564 или новее)

cd /usr/local/directadmin/custombuild
./build update
./build version
./build rewrite_confs

Эта операция должна обновить файлы: /etc/httpd/conf/extra/httpd-default.conf для Апача и /etc/nginx/nginx_limits.conf для NGINX. Если этот способ для вас не сработал или по какой-либо причине вы не можете его использовать, то для вас имеется второй путь:

Apache Server

Применимо для следующих случаев: веб-сервер строится на базе одного только Apache или в комбинации с NGINX в качестве фронтенда.

echo -e "\nRequestHeader unset Proxy early" | tee -a /etc/httpd/conf/extra/httpd-includes.conf
service httpd restart

NGINX

Только для ситуации, когда NGINX используется один, и PHP-скрипты обрабатываются PHP-FPM

echo 'fastcgi_param  HTTP_PROXY         "";' | tee -a /etc/nginx/fastcgi_params
mkdir /usr/local/directadmin/custombuild/custom/nginx/conf/ -p
cp -p /etc/nginx/fastcgi_params /usr/local/directadmin/custombuild/custom/nginx/conf/
service nginx restart

Дополнительная информация

Для изучения темы более подробно, пожалуйста, обратитесь к страницам по следующим ссылкам (материал на английском):

  • https://httpoxy.org/
  • https://www.apache.org/security/asf-httpoxy-response.txt
  • http://forum.directadmin.com/showthread.php?t=53503




Рубрики: Apache Защита Безопасность nginx NGINX+Apache


« Закрываем утечку MySQL логинов на сервере с Directadmin  | В начало |  FATAL: Could not open 'kernel/net/netfilter/xt_LOG.ko': No such file or directory »



Вам нужна помощь или консультация по данному руководству?! Задайте свой вопрос на форуме. Вам нужен профессионал?! Воспользуйтесь услугами системного администратора для работ по вашему серверу. Мы поможем вам с переездом, настройкой, оптимизацией сервисов, равно как и с другими вопросами по части Linux/Unix.







   Все права на панель управления Directadmin принадлежат разработчику © DirectAdmin, JBMC Software, Canada
   К вашим услугам плагины для Директадмин - панели управления хостингом
   Лучшее предложение по установке, поддержке Directadmin на CentOS/RedHat, Debian/Ubuntu, FreeBSD.
   Профессиональное абонентское обслуживание серверов: выделенных и виртуальных на базе Linux/Unix.
   Услуги системного администратора по настройке WEB сервера Apache (NGINX), DNS службы, POP3 (IMAP) и SMTP, FTP.
 Copyright, 2017 © DAHELP.RU, all rights reserved.
Работает на Amiro CMS - Free