Déposer Les Permissions Root En Python

J'aimerais avoir un programme en Python commencer à écouter sur le port 80, mais après que les exécuter sans les permissions root. Est-il un moyen de chute de racine ou pour obtenir le port 80 sans elle?

stackoverflow.com/questions/413807/...
Sur moderne Linux vous avez seulement besoin de la capacité de CAP_NET_BIND_SERVICE to bind to port 80, vous N'avez PAS besoin d'être root, pas même au démarrage de l'application. Capacités est une norme POSIX, 1003.1 e, qui est un partitionnement de la toute puissante les privilèges de root dans un ensemble de privilèges distincts. Voir: python-cap-ng Et /sbin/setcap, /sbin/getcap (ce sont les équivalents des chmod setuid, et ls –l)
Pour Python2 et peut-être d'autres interprètes, acquérir des capacités est la partie que vous voulez être prudent avec -- libcap-ng peut lettrines, mais il ne veut pas leur accorder. Cette réponse à la question Ian référencé est un moyen assez sûr pour vous prodiguer un cap à un moment pour des projets spécifiques: stackoverflow.com/a/21895123/1724577

InformationsquelleAutor Jeremy Banks | 2010-04-23

56

Vous ne serez pas en mesure d'ouvrir un serveur sur le port 80 sans les privilèges de root, c'est une restriction au niveau de l'OS. Donc, la seule solution est de supprimer les privilèges de root après avoir ouvert le port.

Voici une solution possible à abandonner les privilèges de root en Python: Abandon des privilèges en Python. C'est une bonne solution en général, mais vous devrez aussi ajouter os.setgroups([]) à la fonction afin de s'assurer que le groupe d'appartenance de l'utilisateur root n'est pas conservé.

J'ai copié et nettoyer un peu le code, et retiré de la journalisation et les gestionnaires d'exception, donc il est laissé à vous de gérer OSError correctement (il sera générée lorsque le processus n'est pas autorisé à passer son effectif UID ou GID):
```
import os, pwd, grp

def drop_privileges(uid_name='nobody', gid_name='nogroup'):
    if os.getuid() != 0:
        # We're not root so, like, whatever dude
        return

    # Get the uid/gid from the name
    running_uid = pwd.getpwnam(uid_name).pw_uid
    running_gid = grp.getgrnam(gid_name).gr_gid

    # Remove group privileges
    os.setgroups([])

    # Try setting the new uid/gid
    os.setgid(running_gid)
    os.setuid(running_uid)

    # Ensure a very conservative umask
    old_umask = os.umask(077)
```
- Gardez à l'esprit que le répertoire de base sera toujours /root et pas /home/uid_name, et que uid_name de ne pas être en mesure de faire quelque chose avec ~/, qui sera ensuite l'étendre à /root/. Cela peut affecter les modules tels que matplotlib qui stocker des données de configuration dans le répertoire d'ACCUEIL. authbind semble être la bonne façon de gérer ce problème.
- Et la MAISON de la variable ne sera pas le seul à être encore en pensant que l'utilisateur est root.
- "Vous ne serez pas en mesure d'ouvrir un serveur sur le port 80 sans les privilèges root..." - Qui n'est pas forcément vrai (peut-être plus?). Voir aussi Autoriser les non-root processus de lier le port 80 et 443? sur les super-Utilisateur et Est-il un moyen pour les non-root processus à se lier à des “privilégiés” ports sur Linux?
InformationsquelleAutor Tamás
12

Je recommande d'utiliser authbind pour démarrer votre programme en Python, de sorte qu'aucun de il a à exécuter en tant que root.

https://en.wikipedia.org/wiki/Authbind
- Un exemple d'utilisation de authbind - goo.gl/fxFde6 - Remplacer NodeJS avec ce que vous voulez (ex: python)
- L'exemple à mutelight.org/authbind fait un bon travail en expliquant la propriété/autorisations sur /etc/authbind/byport/80.
InformationsquelleAutor Allen
7

Ce n'est pas une bonne idée de demander à l'utilisateur de saisir son nom d'utilisateur et de groupe à chaque fois que j'ai besoin d'abandonner ses privilèges. Voici une version légèrement modifiée de Tamás du code qui va abandonner ses privilèges et de passer à l'utilisateur qui a lancé la commande sudo. Je suis en supposant que vous utilisez sudo (si non, utilisez Tamás du code).
```
#!/usr/bin/env python3

import os, pwd, grp

#Throws OSError exception (it will be thrown when the process is not allowed
#to switch its effective UID or GID):
def drop_privileges():
    if os.getuid() != 0:
        # We're not root so, like, whatever dude
        return

    # Get the uid/gid from the name
    user_name = os.getenv("SUDO_USER")
    pwnam = pwd.getpwnam(user_name)

    # Remove group privileges
    os.setgroups([])

    # Try setting the new uid/gid
    os.setgid(pwnam.pw_gid)
    os.setuid(pwnam.pw_uid)

    #Ensure a reasonable umask
    old_umask = os.umask(0o22)


#Test by running...
#./drop_privileges
#sudo ./drop_privileges
if __name__ == '__main__':
    print(os.getresuid())
    drop_privileges()
    print(os.getresuid())
```
- Je n'aime pas cela. Cette approche suppose l'existence de SUDO_USER, qui est défini uniquement si vous exécutez via sudo. Il n'est pas convenable de l'abandon des privilèges lors du démarrage via systemd ou si vous exécutez directement par la racine. Ouais tu pourrais la faire le travail par la mise en SUDO_USER=someone mais c'est un hack. Il est beaucoup plus fréquent pour les démons pour lancer en tant que root, ne le privilège de travail dont ils ont besoin pour mettre les choses en place, puis goutte à "personne" ou un utilisateur spécifié par l'intermédiaire de leur configuration pour leur emploi de jour.
InformationsquelleAutor Autodidact
4
1. systemd peut faire pour vous, si vous commencez votre programme via systemd, systemd peut main de la déjà ouverte socket d'écoute à elle, et il peut également activer votre programme lors de la première connexion. et vous n'avez même pas besoin de daemonize il.
2. Si vous allez aller avec la version autonome de l'approche, vous avez besoin de la capacité de CAP_NET_BIND_SERVICE (vérifier les capacités de l'homme page). Cela peut être fait sur un programme par programme avec le bon outil en ligne de commande, ou faire part de votre demande (1) être suid root (2) (3) écouter le port (4) la suppression des privilèges et des capacités immédiatement.
Rappelez-vous que suid root programmes venu avec beaucoup de considérations de sécurité (propre et sécurisé environnement, umask, les privilèges, les rlimits, toutes ces choses sont des choses que votre programme est nécessaire de configurer correctement). Si vous pouvez utiliser quelque chose comme systemd, le tout pour mieux ensuite.

InformationsquelleAutor Rudd-O
2

La plupart de ce travail, sauf si vous avez besoin de demander la prise après quelques autres trucs que vous ne voulez pas être super-utilisateur.

J'ai fait un projet appelé tradesocket il y a un moment. Il vous permet de passer en arrière de sockets sur un système posix entre les processus. Ce que je fais est spin-off d'un processus au début qui reste de super-utilisateur, et le reste du processus descend dans les autorisations et les demandes de la prise de l'autre.

InformationsquelleAutor Brantley Harris

Voici une nouvelle adaptation de Tamás réponse, avec les modifications suivantes:

Utiliser le python-prctl module à goutte Linux capacités à une liste de capacités à préserver.
L'utilisateur peut éventuellement être passé en paramètre (la valeur par défaut à une recherche de l'utilisateur qui a exécuté sudo).
Il définit tous les groupes de l'utilisateur et HOME.
Éventuellement des changements de répertoire.

(Je suis relativement nouveau à l'aide de cette fonctionnalité, cependant, j'ai peut-être raté quelque chose. Il pourrait ne pas fonctionner sur les anciens noyaux (<3.8) ou les grains avec le système de fichiers capacités désactivé.)

def drop_privileges(user=None, rundir=None, caps=None):
    import os
    import pwd

    if caps:
        import prctl

    if os.getuid() != 0:
        # We're not root
        raise PermissionError('Run with sudo or as root user')

    if user is None:
        user = os.getenv('SUDO_USER')
        if user is None:
            raise ValueError('Username not specified')
    if rundir is None:
        rundir = os.getcwd()

    # Get the uid/gid from the name
    pwnam = pwd.getpwnam(user)

    if caps:
        prctl.securebits.keep_caps=True
        prctl.securebits.no_setuid_fixup=True

    # Set user's group privileges
    os.setgroups(os.getgrouplist(pwnam.pw_name, pwnam.pw_gid))

    # Try setting the new uid/gid
    os.setgid(pwnam.pw_gid)
    os.setuid(pwnam.pw_uid)

    os.environ['HOME'] = pwnam.pw_dir

    os.chdir(os.path.expanduser(rundir))

    if caps:
        prctl.capbset.limit(*caps)
        try:
            prctl.cap_permitted.limit(*caps)
        except PermissionError:
            pass
        prctl.cap_effective.limit(*caps)

    #Ensure a reasonable umask
    old_umask = os.umask(0o22)

Il peut être utilisé comme suit:

drop_privileges(user='www', rundir='~', caps=[prctl.CAP_NET_BIND_SERVICE])

InformationsquelleAutor Craig McQueen

Vous devez vous connecter pour publier un commentaire.