Wu-Ftpd ? (importante, pls)

Ok, ho un problemino.

Macchina red hat 7.2, wu-ftpd 2.6.1

La configurazione sotto /etc/ftpaccess e' piuttosto semplice, ecco gli
estratti salienti:

===

deny-uid %-499 %65534-
deny-gid %-499 %65534-
deny-uid 500
allow-uid ftp
allow-gid ftp

class   all   real,guest  *

email admin@sito.com

greeting terse
loginfails 2

hostname ftp.sito.com

readme  README*    login
readme  README*    cwd=*

message /welcome.msg		login
message .message		cwd=*

compress	yes		all
tar		yes		all
chmod		no		guest
delete		yes		guest
overwrite	yes		guest
rename		yes		guest

log transfers guest,real inbound,outbound
log security

shutdown /etc/shutmsg

passwd-check rfc822 warn

upload * * yes * apache 0640 dirs 0750 * apache

guestuser web1
guestuser web2
guestuser web3

===

gli utenti web1, web2, eccetera hanno come home directory :

/var/www/html/web1/.

Il . dice a wu-ftpd dove fare il chroot. 



Ora.

Funziona tutto. Quando trasferisco file con gli utenti, questi vengono
creati con UID dell'utente collegato, come dice l'asterisco nella regola
upload, e con GID di apache, e permessi 640. Stesso per le directory. Ho
fatto cosi' perche' in questo modo ho una regola di upload che copre
tutto e se aggiungo utenti non devo aggiungere ANCHE la rispettiva
regola di upload.

MA

ogni tanto i file e le directory vengono creati con UID 0.

Ho scoperto che il comando

MKD nomedirectory 

funziona da dio 

MA

MKD /nomedirectory

crea una dir di root.



Ritengo che i problemi siano intorno agli asterischi nella regola di
upload. Ho anche scoperto che mettendo o meno una / alla fine del path
della home directory in /etc/passwd cambia il comportamento del server,
ma in maniera troppo poco lineare per capire bene COME. Tra l'altro ci
sto ancora lavorando per tentare di capire il perche', per ora sembra
tutto molto casuale (dipendente dal client che uso, dal sistema dai
comandi dati ecc.), a parte questa cosa del MKD che e' fissa.

OLTRE ad essere un problema di sicurezza, questo FTP manco funziona
perche' le dir create con UID 0 non possono essere poi usate dagli
utenti e/o cancellate =(


idee??


________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List