abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    dnes 16:55 | Nová verze

    Svobodný nemocniční informační systém GNU Health Hospital Information System (HIS) (Wikipedie) byl vydán ve verzi 5.0 (Mastodon).

    Ladislav Hagara | Komentářů: 0
    dnes 16:22 | Komunita

    Open source mapová a navigační aplikace OsmAnd (OpenStreetMap Automated Navigation Directions, Wikipedie, GitHub) oslavila 15 let.

    Ladislav Hagara | Komentářů: 0
    dnes 11:55 | Zajímavý software

    Vývojář Spytihněv, autor počítačové hry Hrot (Wikipedie, ProtonDB), pracuje na nové hře Brno Transit. Jedná se o příběhový psychologický horor o strojvedoucím v zácviku, uvězněném v nejzatuchlejším metru východně od všeho, na čem záleží. Vydání je plánováno na čtvrté čtvrtletí letošního roku.

    Ladislav Hagara | Komentářů: 23
    včera 18:22 | IT novinky

    V uplynulých dnech byla v depu Českých drah v Brně-Maloměřicích úspěšně dokončena zástavba speciální antény satelitního internetu Starlink od společnosti SpaceX do jednotky InterPanter 660 004 Českých drah. Zástavbu provedla Škoda Group. Cestující se s InterPanterem, vybaveným vysokorychlostním satelitním internetem, setkají například na linkách Svitava Brno – Česká Třebová – Praha nebo Moravan Brno – Břeclav – Přerov – Olomouc.

    Ladislav Hagara | Komentářů: 18
    včera 13:11 | Nová verze

    Byla vydána nová verze 8.7.0 správce sbírky fotografií digiKam (Wikipedie). Přehled novinek i s náhledy v oficiálním oznámení (NEWS). Nejnovější digiKam je ke stažení také jako balíček ve formátu AppImage. Stačí jej stáhnout, nastavit právo ke spuštění a spustit.

    Ladislav Hagara | Komentářů: 0
    včera 12:22 | IT novinky

    Před 30 lety, k 1. 7. 1995, byl v ČR liberalizován Internet - tehdejší Eurotel přišel o svou exkluzivitu a mohli začít vznikat první komerční poskytovatelé přístupu k Internetu [𝕏].

    Ladislav Hagara | Komentářů: 4
    včera 11:33 | Nová verze

    Byla vydána (𝕏) nová verze 7.4 open source monitorovacího systému Zabbix (Wikipedie). Přehled novinek v oznámení na webu, v poznámkách k vydání a v aktualizované dokumentaci.

    Ladislav Hagara | Komentářů: 0
    včera 05:44 | Bezpečnostní upozornění

    Balíček s příkazem sudo byl vydán ve verzi 1.9.17p1. Řešeny jsou zranitelnosti CVE-2025-32462 (lokální eskalace práv prostřednictvím volby host) a CVE-2025-32463 (lokální eskalace práv prostřednictvím volby chroot).

    Ladislav Hagara | Komentářů: 8
    včera 05:22 | IT novinky

    Do služeb Seznam.cz se lze nově přihlásit pomocí služby MojeID [𝕏].

    Ladislav Hagara | Komentářů: 5
    včera 03:33 | Bezpečnostní upozornění

    Bezpečnostní výzkumníci zveřejnili informace o osmi zranitelnostech, které postihují více než 700 modelů tiskáren, skenerů a štítkovačů značky Brother. Bezpečnostní upozornění vydali také další výrobci jako Fujifilm, Ricoh, Konica Minolta a Toshiba. Nejzávažnější zranitelnost CVE-2024-51978 umožňuje útočníkovi vzdáleně a bez přihlášení získat administrátorská oprávnění prostřednictvím výchozího hesla, které lze odvodit ze

    … více »
    Ladislav Hagara | Komentářů: 0
    Jaký je váš oblíbený skriptovací jazyk?
     (59%)
     (28%)
     (7%)
     (2%)
     (0%)
     (1%)
     (3%)
    Celkem 338 hlasů
     Komentářů: 16, poslední 8.6. 21:05
    Rozcestník

    není suexec jako mod_suexec

    12.11.2008 12:28 | Přečteno: 2066× | i mistr tesař | Výběrový blog | poslední úprava: 12.11.2008 12:38

    dneska ve škole jsme měli za úkol (mj.) nakonfigurovat Apachí modul userdir a spustit v uživatelských adresářích pár CGI skriptů. Jenže co čert nechtěl, cvičící trochu překombinovali požadavky a hned se začaly dít věci...

    Nevinná písmenka

    Zadání vypadalo přibližně takhle:

    Vytvořte uživatele, zapněte mod_userdir, nastavte "public_html" adresář na "~/web", udělejte tam nějaký index, vytvořte tam podadresář "bin" a v něm cgi skript "whoami.cgi", který - pozorný čtenář si domyslí ;-) -.

    Jednoduché, že? Ne tak docela. Když se místo výstupu ze skriptu začaly objevovat oblíbené Internal Server Errory, logy se začaly plnit na první pohled nesmsyslným:

    [Wed Nov 12 10:05:11 2008] [error] [client 127.0.0.1] suexec policy violation: see suexec log for more details
    [Wed Nov 12 10:05:11 2008] [error] [client 127.0.0.1] Premature end of script headers: whoami.cgi
    

    a

    [2008-11-12 10:05:11]: uid: (1003/franta) gid: (100/users) cmd: whoami.cgi
    [2008-11-12 10:05:11]: cannot get docroot information (/home/franta)
    

    nejjednodušší řešení

    První, co mě napadlo, bylo vypnout suexec. Odstraňuji z konfiguráků zmínky o suexecu, konzultuji s cvičícím, ten tvrdí, že suexec je vypnutý: žádná zmínka o aktivaci v logu, žádná zmínka v /server-info.

    Nesmyslné?

    Smysl by to dávalo, kdyby byl suexec zapnutý. Ale on přece není (ano, server jsem restartoval, v logu jsou furt tytéž řádky)!

    Dobře, problém nevypnutelného suexecu nechávám prozatím koňovi (ne nejsem na MFF, už :-) ) a řeším problém s "cannot get docroot..". Mezitím cvičící volá svého kolegu.

    Než se kolega dostavil, trošku jsem poškádlil google a asi na třetí pokus zjistil, že suexec je ochotný na sebe bonznout intimnosti s přepínačem "-V".

    y36aws sbin # ./suexec -V
     -D AP_DOC_ROOT="/var/www"
     -D AP_GID_MIN=100
     -D AP_HTTPD_USER="apache"
     -D AP_LOG_EXEC="/var/log/apache2/suexec_log"
     -D AP_SAFE_PATH="/usr/local/bin:/usr/bin:/bin"
     -D AP_SUEXEC_UMASK=077
     -D AP_UID_MIN=1000
     -D AP_USERDIR_SUFFIX="www"
    

    Právě dorazil druhý kolega oba koukáme na poslední řádek :-). No jo, stane se, kolega slíbil, že nechá upravit zadání tak, že místo "web" tam bude "www" (což udělal třetí kolega v zápětí). Fajn, ale co s tím nevypnutým suexecem?

    suexec a mod_suexec

    Já i cvičící jsme žili v pohádkovém světě, kde suexec a mod_suexec jsou jedno a totéž. Jaké bylo mé překvapení, když jsem z dokumentace Apache 1.3, následně pak Apache 2.0 a po dlouhém a úmorném hledání i v dokumentaci Apache 2.2 zjistil, že "suEXEC se použije tehdy, najde-li Apache při spouštění odpovídající binárku (a je při kompilaci nastaven tak, aby ji použil)" - tedy žádné konfiguráky se nekonají! Ale vždyť v konfigurácích to bylo!..?

    Cvičně hledám mod_suexec. Ha, rozdíl! mod_suexec už konfiguraci potřebuje (minimálně je třeba ho zapnout). Podle dokumentace jsem nakonec zjistil, že mod_suexec pouze rozšiřuje funkcionalitu suEXECu a to tok, že se mu dá vnutit pod jakým user/group má daný skript spustit.

    Pravda, i cvičící z toho byli překvapeni. Těžko říct, jestli mile, či nemile. Ale vyslech jsem si pár nehezkých připomínek k dokumentaci Apache :-)

    Definitivní řešení a poslední záhada

    [Wed Nov 12 09:14:50 2008] [notice] suEXEC mechanism enabled (wrapper: /usr/sbin/suexec)
    

    Tento řádek z logů zmizel po odstranění všech zmínek o suexecu, resp. mod_suexecu z konfiguráků, dávajíc běžnému uživateli tušení, že suEXEC mechanizmus je skutečně vypnutý. Poslední zatím nevyřešenou záhadou tedy zůstává, proč tato hláška zmizela a suEXEC žije dál...

    Samotné vypnutí suEXECu se, dle dokumentace, provádí na úrovni souborového systému a to příkazem rm, případně chmod (méně zdatní nechť použijí raději příkaz mv).

    Poučení

    co z toho plyne? Není suEXEC jako mod_suexec. Dávejte si na to pozor a nevěřte logům. Cesta k adresářům s webovým obsahem se musí suEXECu (resp. Apachi) říct už při kompilaci a následně se nedá změnit. Apache bude používat suEXEC, ikdyž se Vám to nebude líbít a jediná možnost, jako ho "přesvědčit", je hrubá síla.

    Jen škoda, že jsme to řešili skoro celou hodinu já se nedostal k ostatním úkolům...

           

    Hodnocení: 100 %

            špatnédobré        

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    Komentáře

    Vložit další komentář

    12.11.2008 21:12 rtfm
    Rozbalit Rozbalit vše Re: není suexec jako mod_suexec
    rtfm?
    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.