Comment puis-je avoir un script PHP d'exécuter un script shell en tant que root?

1. Ne pas exécuter Apache en tant que root. Apache a été conçu pour faire face très bien avec départ comme root puis l'abandon de ses privilèges juste dès qu'il le peut

2. Ne pas utiliser sudo au sein de votre script soit - il va être trop facile à retrouver avec sudo mal configuré de telle sorte que tout script qui s'exécute sur votre serveur arrive à exécuter n'importe quel programme il aime avec root privilèges

3. Faire votre propre programme à exécuter "setuid", de sorte qu'il obtient les privilèges de root, mais tombe alors entre eux (comme Apache) quand il n'a pas besoin de plus

4. Assurez-vous que votre "setuid" exécutable ne peut pas être exécuté par une personne qui n'est pas censé être capable de l'exécuter.

OriginalL'auteur Alnitak

Vous avez besoin d'une couche d'abstraction permettant de fournir un peu de sécurité, au moins!...

Ma façon de faire c'est d'écrire une simple UDP serveur* avec la racine privs en Python qui:
montres pour la réception des paquets UDP sur un port donné
il les compare à une liste blanche
si elles correspondent à effectuer l'opération

Vous avez alors un peu de PHP pour que les messages que le Python serveur avec des messages pré-définis...

<?php
  $handle = fsockopen("udp://localhost",12345);
  fwrite($handle,"Start Script");
  fclose($handle);
?>

Le python serveur de montres pour les paquets sur le port 12345 mais ignore tout et qui ne sont pas "Script de Démarrage" ou "Arrêter le Script", comme il s'exécute en tant que root, il peut être heureux de commencer votre script bash. Vous DEVEZ ABSOLUMENT utiliser de liste blanche, c'est VRAIMENT PAS SÛR d'envoyer une entrée à partir d'un socket UDP à la ligne de commande directement!

Ne remarque que UDP peut être usurpée donc, si votre pare-feu autorise l'usurpation de trafic entrant (il vraiment ne devrait pas!) quelqu'un pourrait envoyer des paquets forgés à votre Python serveur et arrêt/démarrage de votre service. Cela est peu être un problème, mais si vous ne pouvez pas réparer votre pare-feu et que vous voulez vous prémunir contre elle, vous pouvez retravailler le dessus à l'aide de TCP/IP qui ne peut pas être falsifié.

Roger Heathcote.

*C'est vraiment trivial serveur à écrire ( ~20 lignes ), mais si vous ne savez pas comment puis juste moi un message et je vais vous l'envoyer ou de le poster ici.

OriginalL'auteur user84643

Comme demandé, voici le python serveur...

#!/usr/bin/python
import os 
import socket
print "  Loading Bindings..."
settings = {}
line = 0 
for each in open('/path/to/actions.txt', 'r'):
 line = line + 1
  each = each.rstrip()
  if each <> "":
    if each[0] <> '#':
      a = each.partition(':')
      if a[2]:
        settings[a[0]] = a[2]
      else:
        print "    Err @ line",line,":",each
print "  Starting Server...",
port = 12345
s = socket.socket(socket.AF_INET, socket.SOCK_DGRAM)
s.bind(("", port))
print "OK."
print "  Listening on port:", port
while True:
    datagram = s.recv(1024)
    if not datagram:
        break
    print "Rx Cmd:", datagram
    if settings.has_key(datagram):
      print "Launch:", settings[datagram]
      os.system(settings[datagram]+" &")
s.close() 

Le fichier de config "actions.txt" utilise le format "action-nom:-commande shell" c'est à dire

# Hash denotes a comment
webroot:nautilus /var/www
ftp:filezilla
edit_homepage:gedit /var/www/homepage/htdocs/index.php

Ce code ne vérifie pas l'IP d'origine des paquets UDP entrants que j'ai en cours d'exécution sur localhost, je suis derrière un pare-feu de la part d'autrui et de la vérification n'apporte pas de protection contre l'usurpation de toute façon.

Je n'ai pas le temps de le réécrire pour l'utilisation de TCP/IP mais Python est un langage qui vaut la peine d'apprendre à connaître si vous voulez vraiment que la fonctionnalité que je vais le laisser à vous de google pour "Python" et "SOCK_STREAM'. Il n'est sans doute pas utile de votre difficulté à bien, il est plus facile de configurer votre pare-feu de sorte qu'aucun usurpée localhost paquets peuvent passer à travers et de modifier le code pour s'assurer qu'il n'écoute que pour les paquets provenant de l'bouclage.

OriginalL'auteur user84643