mengamankan vps dari script jahat

[shidhi]

selamat malam master" dwh..
Saya mau tanya tentang keamanan vps ..
Saya kemarin baru membeli vps tapi saya bingung cara agar script jahat seperti cpanel brut force , atau shell yang buat nyari file config dll tidak bisa berjalan di server itu ... Sudah saya coba gogling tapi hanya menemukan cara menambahkan symlink,shell_exec,exec,proc_close,proc_open,popen,system,dl,passthru,escapeshellarg,escapeshellcmd di whm .. Tapi cara itu masih bisa di tembus jika si pelaku menambahkan file php.ini dengan isi
safe_mode=OFF
disable_functions=NONE
Di folder tempat shall itu di upload ...
Untuk master" dwh mohon bimbinganya karna ini pertama kalinya saya menyewa vps..
Terimakasih sebelumnya

 

[mustafaramadhan]

selamat malam master" dwh..
Saya mau tanya tentang keamanan vps ..
Saya kemarin baru membeli vps tapi saya bingung cara agar script jahat seperti cpanel brut force , atau shell yang buat nyari file config dll tidak bisa berjalan di server itu ... Sudah saya coba gogling tapi hanya menemukan cara menambahkan symlink,shell_exec,exec,proc_close,proc_open,popen,system,dl,passthru,escapeshellarg,escapeshellcmd di whm .. Tapi cara itu masih bisa di tembus jika si pelaku menambahkan file php.ini dengan isi
safe_mode=OFF
disable_functions=NONE
Di folder tempat shall itu di upload ...
Untuk master" dwh mohon bimbinganya karna ini pertama kalinya saya menyewa vps..
Terimakasih sebelumnya

Loh, bukankah yang berhak merubah php.ini adalah si admin?. Kalau user biasa sampai bisa ya artinya ada yang salah.

 

[shidhi]

Iya mas saya coba tadi membuat 1 akun saya upload shall di akun hosting itu saya coba cpanel brut force ternyata gagal script itu tidak berjalan setelah itu saya upload file php.ini di folder tempat script sell itu saya upload dan saya isi
safe_mode=OFF
disable_functions=NONE
Kemudian sya coba lagi jalankan script cpanel brut force dan hasilnya berhasil...
Caranya gimana ini mas biar script itu tidak berjalan

 

[mrxingrob]

bukannya merubah php.ini lewat cpanel itu mudah??
walaupun dari sisi root/admin whm sudah diset sedemikian rupa, php.ini di cpanel masih bisa dibuat karena biasanya cpanel menanganinya per domain.

Barusan dapat link ini h**p://forums.cpanel.net/f185/how-can-i-protect-php-ini-suphp-127537.html mungkin bisa dicoba

 

[shidhi]

bukannya merubah php.ini lewat cpanel itu mudah??
walaupun dari sisi root/admin whm sudah diset sedemikian rupa, php.ini di cpanel masih bisa dibuat karena biasanya cpanel menanganinya per domain.

Nah itu dia mas masalahnya ... Pertanyanya caranya bagaimana agar script" jahat itu tidak bisa berjalan karna kalo cuma pakai symlink,shell_exec,exec,proc_close,proc_open,popen,system,dl,passthru,escapeshellarg,escapeshellcmd bisa dengan mudah di lewati dengan cara membuat file php.ini

 

[dhyhost]

biar lebih jos bisa pakai cloudlinux = cagef

coba ini
http://docs.cpanel.net/twiki/bin/view/AllDocumentation/WHMDocs/PhpIni#Checklist
http://docs.cpanel.net/twiki/bin/view/AllDocumentation/CpanelDocs/Glossary#OpenBasedir

 

[mustafaramadhan]

Nah itu dia mas masalahnya ... Pertanyanya caranya bagaimana agar script" jahat itu tidak bisa berjalan karna kalo cuma pakai symlink,shell_exec,exec,proc_close,proc_open,popen,system,dl,passthru,escapeshellarg,escapeshellcmd bisa dengan mudah di lewati dengan cara membuat file php.ini

Ada yang 'salah' dalam setting anda. Semestinya php.ini di directory user tidak diijinkan. Ini bisa jadi terkait pilihan 'php type' (bisa mod_php, suphp atau ruid2).

Di Kloxo-MR, default 'php type' adalah 'php-fpm' dan gejala seperti anda tidak terjadi. Ini karena ketika php-fpm berjalankan dianya 'menuntut' php.ini mana yang mau dipakai (secara default adalah /etc/php.ini). Setting berbeda untuk setiap user diletakkan pada file config dia sendiri (biasanya di /etc/php-fpm.d).

 

[IIXPLANET]

@ mas shidhi jika mas memakai cpanel sebagai control panelnya dan ingin pure mengamankan php.ini untuk seluruh user
mas bisa memakai default suphp bawaan default cpanel dan mas bisa control dibagian ini untuk force all user memakai php.ini settingan server

nano /opt/suphp/etc/suphp.conf

lihat bagian ini :

[phprc_paths]
;Uncommenting these will force all requests to that handler to use the php.ini
;in the specified directory regardless of suPHP_ConfigPath settings.
;application/x-httpd-php=/usr/local/lib/
;application/x-httpd-php4=/usr/local/php4/lib/
;application/x-httpd-php5=/usr/local/lib/

di uncomment tanda ; lalu restart apache dan test buat php.ini dalam public user dan jalankan phpinfo buat cek apakah php.ini yg td dibuat di public bisa jalan atau tidak .

namun jika mas ada uang lebih bisa juga menambahkan memakaikan cagefs cloudlinux seperti yg mas dhyhost katakan itu cukup bagus juga mas .

namun jika ngepas2 an bisa di tambahkan mod security dengan lebih peka terhadap rules yg mas atur sendiri dengan melihat dari hole / shell2 yg ada buat block

tambahan rules varnish buat security ini bagus buat prevent injecksi semacam ini buat pendamping mod security nya

csf firewall juga dipakaikan biar tambah bagus mas .

mohon maaf jika ada salah kata .. mohon dikoreksi jika ada salah informasi

 

[shidhi]

terimakasih buat mas" yang sudah bantu jawab saya coba dulu saran dari mas visualhost
semoga berhasil mas ....

 

[jaapns]

menambahkan dari @vishualhost

saya selama ini pake caranya bro vishual host kok...

dan working fine, artinya user ga bisa custom php.ini seenaknya sendiri...

Tambahan :
bila sudah di setting uncommenct seperti di atas,

user yg membutuhkan custom php.ini bisa di masukkan di :
/usr/local/lib/php.ini

Contoh :

[PATH=/home/username/public_html]
register_globals=On
post_max_size=5000M