Выполнение команд, хотя PHP/Perl-скрипты в качестве привилегированного пользователя в Linux

Question

Фон: Я пишу сценарий для компании, которая позволит пользователям создавать учетные записи FTP через веб-интерфейс. В фоновом режиме, скрипт должен запустить кучу команд:

• Добавить пользователя в систему (useradd)
• Открыть и редактировать различные файлы
• почты пользователя с помощью Sendmail

и еще несколько вещей ...

Я в основном ищу наиболее безопасный способ. Я слышал о методе setuid, методе sudo и, конечно же, запущен httpd как привилегированный пользователь. Будут проверены на достоверность введенных данных, прежде чем будут выполнены какие-либо команды (например, только буквенно-цифровые символы в именах пользователей)

Что такое метод, используемый популярными сценариями (например, webmin), так как это должно быть довольно безопасно?

Answer 1

Я бы установил очередь, на которую может писать сценарий, связанный с веб-интерфейсом.

Тогда у меня будет некоторый привилегированный процесс, считанный из этой очереди, и предпримет соответствующие действия. Вы можете запустить скрипт командной строки через задание cron или написать немного демона в PHP, который проверяет очередь и делает работу чаще, чем позволяет cron.

Таким образом, единственным кодом, который может работать с привилегированными правами, является ваш маленький рабочий сценарий, и вам не нужно предоставлять какой-либо путь для веб-связанного скрипта, чтобы получить необходимые, но опасные привилегии.

Answer 2

Создайте сценарий, который принимает параметр командной строки, проверяет его и выполняет команду useradd. Добавьте пользователя httpd в файл sudoers с директивой NOLOGIN, JUST для этого одного процесса.

Таким образом, вам не нужно беспокоиться о написании демона, который всегда будет запускаться с привилегиями root, и ваш скрипт также немедленно вернется. Если вы просто использовали корневой скрипт setuid, другие пользователи в одной системе могли бы выполнить ваш скрипт (если вы не проверили свой реальный идентификатор пользователя).

Answer 3

Начну с того, что запуск httpd как root - очень плохая идея.

безопасного способа сделать это есть полное разделение привилегий между вебом-сервером UI и эффектором - один очевидным способом сделать это, чтобы запустить сервер в качестве корня принимающего локальных соединений только, когда интерфейс отправляет запросы (простой способ сделать это через inetd/xinetd - это означает, что вам не нужно беспокоиться обо всех осложнениях создания процесса демона).

Вам также понадобится какой-то механизм доверия между пользовательским интерфейсом и эффектором - общий секрет будет достаточным - чтобы другие программы в системе не могли вызвать эффектор. Использование системы доверия, которая основывается на ауте или асимметричном шифровании на основе запроса, означает, что вам больше не нужно беспокоиться о локальном ограничении соединения.

Наконец, вам нужен четко определенный протокол, с помощью которого взаимодействуют пользовательский интерфейс и исполнительный механизм.

Это намного сложнее, чем использование sudo, но более безопасно (например,sudo просто позволяет пользователям выполнять определенные файлы как другой uid - вы надеетесь, что файл содержит правильную программу).

У Setuid есть те же недостатки, что и sudo с дополнительным усложнением, которое (в большинстве случаев), если оно запускает другую программу, - тогда оно будет делать это как оригинальный uid.

НТН

C.