PHP potřetí(exec) (diskuse)

[maleprase]

sudo s NOPASSWD klidne pouzij ale ke kazdemu systemovemu prikazu si udelej skript ktery bude delat jen ciste to co chces vcetne osetreni vstupu

takze udelas treba restart_httpd.sh ve kterym bude jen /sbin/service httpd restart a do sudoerrs das neco jako

uzivatel ALL = NOPASSWD: /usr/local/bin/restart_httpd.sh

tim uzivateli povolis pres sudo poustet jen /usr/local/bin/restart_httpd.sh

[Filip Jirsák]

Vzhledem k tomu, že tyto aplikace musí běžet pod rootem, obejít to nijak nepůjde, to by to zabezpečení v Linuxu nebylo k ničemu. A jak spustit aplikaci pod rootem, aniž bych byl root? V úvahu připadá suid bit, a to není zrovna nejlepší varianta, a pak sudo. To už je lepší. Můžete si třeba vytvořit nějakého uživatele a sudo povolit jemu, z PHP pak spouštět pod daným uživatelem sudo -u. Samozřejmě je nutné počítat s tím, že kdokoliv může vidět zdrojové kódy toho PHP (nebo nějaký konfigurační soubor, kam uložíte jméno/heslo toho uživatele), může spouštět i ten sudo skript.

[happy barney]

hmm, a takáto možnosť?

ls -l /usr/sbin/suid-php:
-r-sr-x--- root suidphp  suid-php

head -1 aaa.cgi:
#/usr/sbin/suid-php

[Josef Kufner]

Spouštět php s právy roota je poněkud, ehm, nebezpečné. Řešení se specializovanými, jednoduchými a neprůstřelnými scripty + sudo je asi nejbezpečnější.

[happy barney]

njn, php sux, ale riešenie to je

potom by ešte bolo možné vytvoriť virtual host s iným User ako celý apache, a sudo povoliť len na tohoto užívateľa.

[maleprase]

tohohle bych se bal.

pokud to ma jet jako webova sluzba, pak by musel uzivatel apache(httpd), pod kterym je spusten webserver, byt ve skupine suidphp a to znamena, ze kdokoliv, kdo muze vytvaret skripty na tom stroji, se dostane k pravum roota

[maleprase]

skripty jako ve smyslu muze vytvaret dynamicky generovane stranky

[Abraxis]

Take jsem totez resil (sprava uzivatelu, skupin, kvot apod. pres webovske rozhrani) a nic lepsiho nez sudo jsem nenasel.

Jen bych doporucil napsat si vlastni funkci: MyExec($command) ktera teprve udela exec ('sudo "'.AddSlashes($command).'"'); (pripadne zalogovani a dalsi veci) a dusledne volat to vzdy pres tuhle funkci.

[Honza]

Ja podobny problem kdysi resil pres suid C-ckovi wrapper pro perl-ovy skript s zapnutym 'tainted mode'. Perl s touto variantou nejak pocita, jak moc je to bezpecny ale ale otazka...