Dotaz: PHP system() - práva roota

[FrostyX]

Ahoj, mám následující kód:

$cmd = '/etc/init.d/dhcp3-server restart';
$output = system($cmd);
echo $output;


Dostávám hlášku, že nemám dostatečné oprávnění. Když bych spustil něco jiného (příkladně ping), tak to funguje, takže je opravdu problém v právech. Mělo by to řešit sudoers, ale nějak se mi to nedařilo rozchodit, tak se ptám tu. Jak to rozchodit ?

Předem díky.

---

---

Odpovědi

[PGD]

Ahoj, php běží pod nějakými právy. Pokud nepoužíváš nějaké wrapery, tak běží pod samými právy jako apache (nebo pod jakým webserverem php používáš). Ping ti jede, protože ten jede všem uživatelům a jelikož vyžaduje rootovská práva, tak má nastaven setuid bit.

Ovšem setuid bit můžeš nastavit jen na binární soubory, nikoli na skripty (ty se totiž nespouštějí přímo, ale přes interpret, např. bash, takže by jsi muset nastavit set uid bit na bash, ale to by jsi si udělal pěknou díru do systému).

Řešení, které mně napadá, je skutečně použít sudo a do sudoers zanést povolení pro uživatele apache a příkaz pak spouštět 'sudo /etc/init.d/dhcp3-server restart'.

Pokud ten webserver používáš jen ty, tak by takovéto řešení bylo akceptovatelné. Pokud ho používá i někdo jiný (používáš ho třeba jako webserver pro několik domén), tak je to v případě, že nepoužíváš nějaký wraper na php, bezpečnostní ryziko. Vlastně každý uživatel webserveru by pak měl právo tyto služby spouštět a zastavovat, jelikož by mu php běželo pod stejným uživatelem a používalo stejné nastavení php.ini.
Řešením by pak bylo spouštět php přes nějaký wraper, aby se daly nastavit práva(uživatel+skupina) pro konkrétní domény.
Zdar Max

[PGD]

Pokud má apache a běží mu na něm jen jeho aplikace, může ho kompilovat s prefixem -D-BIG_SECURITY-HOLE a spouštět jako root.

[FrostyX]

Apache mi běží pouze na lokální síti. Napsal jsem si takovou menší administraci serveru ve webovém rozhraní (samozřejmně je relativně zabezpečená), takže k ní běžný uživatel nemá přístup. O bezpečnost bych se nebál. Mohl by jsi mi prosím napsat přesný řádek, který bych měl do toho /etc/sudoers/ napsat ? Já jsem to už zkoušel ale nefungovalo mi to. Díky.

[Vojtěch Horký]

Já jsem to už zkoušel ale nefungovalo mi to.

Příště sem rovnou vložte, co jste tam napsal.

Mohl by jsi mi prosím napsat přesný řádek, který bych měl do toho /etc/sudoers/ napsat ?

Tohle by mělo fungovat (jen je možné, že místo apache běží PHP pod jiným uživatelem (např. http, www nebo nobody):

# apache + dhcp3-server
Cmnd_Alias DHCPSERVERCMD = /etc/init.d/dhcp3-server
User_Alias DHCPSERVERGRP = apache
DHCPSERVERGRP ALL=NOPASSWD : DHCPSERVERCMD

A nezapomeňte použít visudo.

[frEon]

taky je moznost zabalit prikaz /etc/init.d/sluzba restart do perlovyho skriptu a tomu nastavit suid bit, ale cesta pres suexec je stejne nejlepsi a doporucene reseni

[VSi]

SUID bit na skriptu pokud vím nefunguje. Ve skutečnosti se spouští binární soubor interpretu perlu, atkže SUID by musel být ten. Ale to nejde, to by se všechny perl skripty pouštěly pod rootem.

Čistá cesta je sudo, kde se povolí jen ten /etc/init.d/xxx nebo nějaký obalovací skript. Pouštět celé PHP pod rootem je zbytečné (suexec to ani nedovolí, mpm-itk možná).

[frEon]

aaa, mas pravdu, me to funguje jenom protoze mam nainstalovanej perl-suid, kterej se o ten suid postara...

[Max]

Jaký je rozdíl mezi skriptem v bashi a v perlu? Žádný, oba jsou spouštěni interpretem. V případě bashe je to "/bin/sh" - "/bin/bash", v případě perlu "/usr/bin/perl". Nastavit set uid bit na perlovský skript si ničehož nepomůžeš .
Zdar Max

[Lubos Kopecky]

resenim by pro tebe mohlo byt bud sudo s vydefinovanyma prikazama pro usera, pod kterym bezi apache, nebo apache2-mpm-itk, ktery umoznuje definovat usera, pod kterym danny virtualhost je spusten, kdy jednomu das proste roota... ale doporucuju tam pod tim virtualhostem nemit nic jinyho nez tyhle potrebny funkce a jeste si to poradne zabezpecit, jinak ti v systemu nekdo nadela peknou paseku...