Bridge-and-Join-s

Files

T

zuevav e16d4454ce Безопасность: код установки ретранслятора (M1), zip-slip 7z (M3), L1/L5/L2

Продолжение исправлений по security-аудиту.

M1 (MEDIUM) — установщик PHP-ретранслятора был открыт без входа: до создания
админа атакующий из интернета мог завести админа кабинета или подменить адрес
ядра/ключ. Добавлен «код установки»: генерируется в файл install.lock рядом с
данными (вне веб-корня), прочитать его можно только с доступом к файловой
системе (FTP/файловый менеджер) — то есть владельцу сервера. Шаги connect и
admin (включая «пропустить») требуют верный код. Регексп loopback заякорен
(`http://127.0.0.1.attacker.com` больше не проходит как loopback). Код удаляется
по завершении установки. Проверено встроенным php-сервером.

M3 (MEDIUM) — распаковка 7z в мастере ключа (ExtractISO) сохраняла пути из
архива → запись «../…» вышла бы за каталог. Перед распаковкой архив
просматривается (7z l -slt, без записи); при абсолютном пути или выходе за
корень распаковка отклоняется. Тест TestUnsafeArchivePath.

L1 — target_device не проверялся перед root mount: значение не из списка
съёмных теперь отклоняется (иначе root смонтировал бы произвольный девайс).
L5 — likeEscape в ручном поиске DEPO (manualDepoSearch): метасимволы LIKE от
пользователя больше не «расползаются» по базе.
L2a — кука сессии ядра получает Secure и за TLS-терминирующим прокси на loopback
(reqIsHTTPS учитывает X-Forwarded-Proto только от loopback).

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01Q4YVo4UMopqT5DzicqpPjL

2026-09-18 21:35:38 +03:00

.htaccess

Кабинет: страницы собирает ядро, на хостинге — ретранслятор (Go и PHP)

2026-09-18 11:15:29 +03:00

index.php

Безопасность: код установки ретранслятора (M1), zip-slip 7z (M3), L1/L5/L2

2026-09-18 21:35:38 +03:00

README.txt

Инструкции: раздел настроек называется «Кабинет клиента»

2026-09-18 14:46:45 +03:00

README.txt

Личный кабинет клиента депозитария — версия для обычного хостинга (PHP)
=========================================================================

Что это. Кабинет ничего не рисует и не хранит сам: страницы собирает ядро bj-server
депозитария, а этот файл только передаёт запросы браузера ядру и ответы обратно.
Поэтому на хостинге нет ни базы данных, ни данных клиентов — только способ связи с ядром.

Что нужно от хостинга: PHP 8.1 или новее, расширения curl и sqlite (pdo_sqlite),
возможность создать домен/поддомен с сертификатом (Let's Encrypt в панели хостинга).

Установка:
  1. Создайте в панели хостинга домен, например lk.депозитарий.ru, и включите https.
  2. Скопируйте в каталог домена файлы index.php и .htaccess (например, по FTP или через
     файловый менеджер панели).
  3. Откройте https://lk.депозитарий.ru — запустится установщик: проверит сервер, спросит
     способ связи с ядром и ключ доступа, проверит связь и предложит завести
     администратора кабинета.

Способы связи с ядром:
  • Кабинет обращается к ядру — если у ядра есть адрес, доступный с хостинга (https).
  • Ядро подключается к кабинету — если у ядра нет адреса в интернете. Тогда в настройках
    ядра («Кабинет клиента») выберите «Ядро подключается к кабинету» и укажите адрес сайта.
    Ядро само дозвонится и заберёт запросы; входящих портов не нужно. Нужно расширение
    sqlite — очередь запросов лежит в файле.

Где лежат настройки: каталог bj-lk-data рядом с каталогом сайта (если хостинг разрешает
писать туда), иначе подкаталог data внутри сайта, закрытый правилами .htaccess. Файл
config.php содержит ключ доступа; чтобы пройти установку заново — удалите его.

Если у хостинга nginx без поддержки .htaccess: направьте все адреса на index.php
(try_files $uri /index.php?$query_string;) и закройте каталог data (location /data { deny all; }).
Лучше создать каталог bj-lk-data рядом с сайтом — тогда внутри сайта данных не будет.

Безопасность: заголовки защиты, куки и правила форм выставляет ядро — ретранслятор
передаёт их без изменений и ничего не пишет в журнал. Клиентам публикуйте кабинет только
по https.