Dotaz: cmd Shutdown pro non-root usera

[venda]

Ahoj,

potřebuji restartovat server (debian9) přes webové rozhraní. Mám v php script

shell_exec('/sbin/shutdown -r now')

který spouší user www-data, který nemá práva spustit cmd shutdown, jak mu je jednoduše přidat aniž bych musel instalovat sudo?

Předem dík

Odpovědi

[Aleš Kapica]

Proč?

No ale jak chceš. Povol si (pokud je povoleny nemáš) tzv. "Magic SysRq Keys", tím že zapíšeš do /proc/sys/kernel/sysrq controls 128. Pak si nastav na soubor /proc/sysrq-trigger skupinu www-data. A změň nastavení přes chmod z 200 na 200.

Pak můžeš nechat php skriptem do tohoto souboru zapsat 'p' pro vypnutí, nebo 'b' pro restart. Ale podle mě udělat něco takového hraničí se ztrátou soudnosti. Protože ti pak ten stroj otočí kdejaký šmudla co ti najde díru v PHP.

[venda]

Takže doporučujete instalovat sudo?

[Kit]

Jistě, přes sudo je to trivialita.

[R]

To je poriadne debilny napad. Na co sluzi magic sysrq? A co sa stane s beziacimi procesmi a namountovanymi filesystemami pri tom restarte?

[Aleš Kapica]

Debilní je už sám prvotní požadavek:

…potřebuji restartovat server (debian9) přes webové rozhraní.

Podle mě nemá webový server do spouštění služeb a potažmo zapínání a vypínání serveru vůbec co zasahovat. Ale považuji za občanskou povinnost sebevrahovi, který si to hodlá hodit, najít pořádnou a vhodnou větev. A ne mu ten nápad rozmlouvat.

[k3dAR]

to ale neznamena ze by bylo vhodne pouzit az tu nejhorsi/posledni moznost, a kdyz uz (jako ze NE), tak alespon misto jenom natvrdo 'b" tam poslat postupne s,u,b, tedy sync, remount-ro, reboot...

[Aleš Kapica]

Smyslem poradny je ukázat cestu, ne vodit za ruku. Předpokládám že dotyčný je natolik gramotný, aby si zjistil jaká to má rizika a co se s tím dá všechno dělat. Přijde mi totálně na palici pořád dokola někomu psát jedno a to samé.

Chtěl vědět jak udělat shutdown přes webový server, tak ho má mít. O korektním vypnutí nepadlo ani slovo. Ostatně. Vzhledem k účelu pro jaký to nejspíš chce by to stejně zůstalo jen na něčem viset.

[k3dAR]

v poradne ae ma radit, tak bud mas dat odkaz na wiky o magic sysrq, nebo kdyz uz pises jak tak pridat 2 pismwnka s a u te nezabije, aspon by pak nebyla rada pololikvidacni

[Pavel 'TIGER' Růžička]

Access Control List (ACL), ovšem též není vhodný na vše.

[rastos]

Myslím si, že to nie je o prístupe k binárke /sbin/shutdown:

$ ls -l /sbin/shutdown 
-rwxr-xr-x 1 root root 27264 Jun 21 20:41 /sbin/shutdown*

$ /sbin/shutdown  now
shutdown: you must be root to do that!

[rastos]

Resp. keby sa tie defaultné práva upravili nejako takto:

chgrp www-data /sbin/shutdown
chmod u+s,o= /sbin/shutdown

tak by to snáď mohlo klapnúť.

[venda]

U /sbin/shutdown nejde změnit GROUP

chgrp www-data /sbin/shutdown

ls -l

lrwxrwxrwx 1 root root 14 Jun 13 22:20 /sbin/shutdown -> /bin/systemctl

[rastos]

To máš za to, že používaš distro so systemd

No tak asi budeš musieť upraviť práva pre /bin/systemctl, nie?

[Pavel 'TIGER' Růžička]

Ještě když jsem používal openSUSE se systemd, tak uživateli stačilo systemctl poweroff a systém se vypnul. Bez jakýchkoliv dalších práv.

[SpaceExplo]

Reseni stylem "drbani se levou rukou za pravym uchem", ale funkcni by to byl melo:
- php skript vytvori soubor (napriklad /tmp/udelej_restart.ted)
- skript v cronu roota bude kazdou minutu kontrolovat, zda ten soubor existuje a pokud ho najde, tak ho smaze a provede restart

[Jendа]

S inotify, inotifywait to půjde i bez periodického kontrolování.

[Bherzet]

Chtělo by to v takovém případě dát pozor na to, aby tam ten soubor nemohl zůstat viset v případě, že se FS remountne jako read-only (nebo nastane jiný problém, který smazání zabrání) a server poté neuvázl v nekonečném cyklu restartů. Doporučoval bych použít tmpfs/ramfs, nebo místo cronu/inotify rovnou spustit TCP/IP daemona (pozor na to, aby ten port nebyl přístupný zvenku).

S ohledem na to, že ten daemon obdrží jen jediný příkaz, jednoduchý rychlý hack může vypadat nějak jako:

#!/bin/sh
nc -l -p 1234 && shutdown -r

Z PHP pak stačí otevřít a zavřít socket na localhost:1234. A hlavně na to nezapomenout a nezačít si scannovat porty, nebo tak…

[otasomil]

Zdravim
Musi to byt nutne pres PHP?
Pouzit se da dobre CGI pomoci Busybox httpd ktery umi i authorized pristup pod jmenem a heslem. Posilam takto magicky paket pro start serveru a nastartovanym pak shutdown.
Je to vse jednoduchy, Busybox byva soucasti systemu a jen si jej nechate (jako root kdyz je to nutne) pomoci @reboot v Cronu nastartovat.

[Kit]

Vygeneruj si dvojici SSH klíčů uživatele root. Privátní klíč zpřístupni uživateli www-data, do authorized_keys kromě veřejného klíče přidej parametr command="/sbin/shutdown -r now"

Z PHP už jen spustíš SSH s privátním klíčem.

[debian]

Nastavit prava seduit pre prikaz shutdown a moze vypnut pc hocijaky uzivatel pocitaca.

[Peter Golis]

To je vceľku zaujímavý, a rokmi overený bezpečnostný koncept. Na takú radu si prišiel sám, alebo ju máš z hackerského fóra okolo Anonymous?