perl-befehle mit rechten des webusers ausführen? (mod_perl und Apache)

[thread]16590[/thread]

perl-befehle mit rechten des webusers ausführen?

Tags: apache perl suexec Ähnliche Threads

Leser: 20

Articles: hide open all | hide show old branches

+28 replies
Gast sonk1980

2011-08-03 11:15

Ich stehe vor folgendem Problem:
Ich habe ein Perl-skript, welches der user über den webbrowser (nach erfolgreichem Login - .htaccess )aufrufen kann.
Mit diesem Skript soll er anschließend Dateien lesen/anlegen/ändern/löschen.
Wenn das Skript Dateien modifiziert läuft es unter dem usernamen apache. Meine Frage ist, wie bringe ich das Skript dazu bei, als den angemeldeten Web-user die Befehle auszühren bzw. die Rechte des jeweiligen users zu erlangen?
Ich habe veruscht, mich in Suexec hineinzulesen, aber ich konnte einfach nicht durchblicken.
sudo wäre auch eine Möglichkeit. Funktioniert jedoch nicht, wenn ich das skript über den webbrowser starte
z.B. der Befehl
system('sudo -u user123 touch /home/user123/test.txt');
Vielen Dank für jede Antwort
Last edited: 2011-08-03 11:18:14 +0200 (CEST)
- +27 replies
- bianca
  
  2011-08-03 11:31
  
  User since
  2009-09-13
  7016 Artikel
  BenutzerIn
  
  Guest sonk1980
  Ich habe veruscht, mich in Suexec hineinzulesen, aber ich konnte einfach nicht durchblicken.
  
  http://httpd.apache.org/docs/current/suexec.html
  Wenn du das nicht durchblicken konkretisieren könntest oder in Fragen formulierst kann dir vielleicht besser geholfen werden.
  10 print "Hallo"
  20 goto 10
  - +25 replies
  - Gast sonk1980
    
    2011-08-03 12:01
    
    Hallo bianca,
    Hier meine ausführlichen Fragen. Sorry, aber ich will kein Blödsinn anrichten, also lieber zuviel fragen...
    
    zu suexec:
    ich habe folgendes in httpd.conf eingegeben
    LoadModule suexec_module modules/mod_suexec.so
    Ergebnis von suexec -V:
    -D DOC_ROOT="/var/www/"
    -D GID_MIN=500
    -D HTTPD_USER="apache"
    -D LOG_EXEC="/var/log/httpd/suexec.log"
    -D SAFE_PATH="/usr/local/bin:/usr/bin:/bin"
    -D UID_MIN=500
    -D USERDIR_SUFFIX="public_html"
    
    Ich habe den httpd-Dienst neu gestartet.
    In der error_log-File befindet sich die notice
    suEXEC mechanism enabled
    
    Ich gehe davon aus, dass suexec nun aktiv ist?
    
    Zu folgendem befehel:
    chgrp webgroup /usr/local/apache2/bin/suexec
    chmod 4750 /usr/local/apache2/bin/suexec
    
    In meiner Konfig ist die group apache und suexec liegt vermutlich in usr/sbin/suexec (laut locate suexec). Müßte ich also die Befehle wie folgt ändern:
    chgrp apache /usr/sbin/suexec
    chmod 4750 /usr/sbin/suexec
    
    Zu den Punkten:
    -Is the target user/group the same as the program's user/group?
    Was ist mit target user/group und Program's usr/group gemeint?
    -Is the user the owner of the file?
    was ist mit dem file gemeint? das skript, dass ich ausführen möchte? Das wäre ziemlich unpraktisch für mich, weil dann das gleiche Skript mehrfach( für jeden user ) vorhanden sein muss.
    Angenommen, suexec läuft und angenommen, ich müßte die Konfigurationen nicht ändern, wwelche Befehle sind nun erforderlich in meinem perl-skript, damit es mit den rechten des webusers läuft?
    Müßte ich dann nur noch das Module mod_userdir laut Abschnitt "Using suEXEC anwenden"?
    
    Last edited: 2011-08-03 12:06:46 +0200 (CEST)
    - kristian
      
      2011-08-03 13:17
      
      User since
      2005-04-14
      684 Artikel
      BenutzerIn
      
      Wenn Suexec im Logfile auftaucht wird es auch aktiviert sein.
      Suexec hätte aber gerne gewusst, wann es für wen arbeitet.
      Normalerweise löst man das in der Konfig-Datei eines jedes V-Hosts mit:
      
      Code: (dl )
      
      SuexecUserGroup user group
      
      Wenn du keine V-Hosts hast wirst du es in der httpd.conf unterbringen müssen
      
      Gruß
      Kristian
    - +21 replies
    - GwenDragon
      
      2011-08-03 13:23
      
      User since
      2005-01-17
      14875 Artikel
      Admin1
      
      Du hast die rechte für suexec selbst geändert?
      Warum willst du sowas tun?
      
      Wenn du Pakete deines Betriebssystems installierst, passen doch die Werte.
      Oder kompilierst du den Apache-Server und das Linux selbst?
      die Drachin Gwen
      
      Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
      - +20 replies
      - Gast sonk1980
        
        2011-08-03 15:02
        
        2011-08-03T11:23:03 GwenDragon
        Du hast die rechte für suexec selbst geändert?
        Warum willst du sowas tun?
        
        habe ich das ?
        Last edited: 2011-08-03 15:03:57 +0200 (CEST)
        
        +3 replies
        
        GwenDragon
        
        2011-08-03 15:13
        
        User since
        2005-01-17
        14875 Artikel
        Admin1
        
        Guest sonk1980
        Zu folgendem befehel:
        chgrp webgroup /usr/local/apache2/bin/suexec
        chmod 4750 /usr/local/apache2/bin/suexec
        
        In meiner Konfig ist die group apache und suexec liegt vermutlich in usr/sbin/suexec (laut locate suexec). Müßte ich also die Befehle wie folgt ändern:
        chgrp apache /usr/sbin/suexec
        chmod 4750 /usr/sbin/suexec
        
        Es sah für mich danach aus, dass du was änderst/ändern wolltest.
        die Drachin Gwen
        
        Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
        
        Gast sonk1980
        
        2011-08-03 15:31
        
        Achso.chmod 4750 /usr/local/apache2/bin/suexec.
        weil im empfohlenen Support [http://httpd.apache.org/docs/2.0/suexec.html] steht: you should run ...
        Da ich selbst unsicher war, habe ich nachgefragt...
        Last edited: 2011-08-03 15:34:14 +0200 (CEST)
        
        gelöscht 2011-08-03 18:30
        
        +16 replies
        
        GwenDragon
        
        2011-08-03 15:55
        
        User since
        2005-01-17
        14875 Artikel
        Admin1
        
        Wie hast du nun suexec und mod_suexec auf deinem Server installiert?
        Bitte etwas mehr Informationen.
        Ich weiß immer noch nicht, warum du Rechte bei den System-/Server-Programmen ändern willst?
        die Drachin Gwen
        
        Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
        
        +14 replies
        
        Gast sonk1980
        
        2011-08-03 18:21
        
        2011-08-03T13:55:29 GwenDragon
        Wie hast du nun suexec und mod_suexec auf deinem Server installiert?
        Bitte etwas mehr Informationen.
        Ich weiß immer noch nicht, warum du Rechte bei den System-/Server-Programmen ändern willst?
        
        erstmal danke für deine geduld.
        Ich bin nicht scharf darauf, die Rechte zu ändern, da es jedoch in der empfohlenen Anleitung steht, habe ich mal nachgefragt...
        suexec schien vorinstalliert (redhat 9) zu sein: Ich habe suexec -V eingegeben und da kam das Ergebnis .
        Ich habe nur dann noch in der httpd.config LoadModule suexec_module modules/mod_suexec.so eingegeben und den httpd-Dienst neu gestartet
        Last edited: 2011-08-03 18:28:30 +0200 (CEST)
        
        pq
        
        2011-08-03 18:29
        
        User since
        2003-08-04
        12209 Artikel
        Admin1
        
        bitte nur einmal posten. habe das doppelpost gelöscht.
        wenn du möchtest, dass nicht jeder artikel von dir extra freigegeben werden muss, dann kannst du dich registrieren.
        Always code as if the guy who ends up maintaining your code will be a violent psychopath who knows where you live. -- Damian Conway in "Perl Best Practices"
        lesen: Wie frage ich & perlintro brian's Leitfaden für jedes Perl-Problem
        
        pq
        
        2011-08-03 18:32
        
        User since
        2003-08-04
        12209 Artikel
        Admin1
        
        du hast gerade zum 3. mal dasselbe gepostet.
        es wird nichts bringen, das noch einmal zu posten.
        bitte lass es. einmal reicht völlig.
        Always code as if the guy who ends up maintaining your code will be a violent psychopath who knows where you live. -- Damian Conway in "Perl Best Practices"
        lesen: Wie frage ich & perlintro brian's Leitfaden für jedes Perl-Problem
        
        +11 replies
        
        GwenDragon
        
        2011-08-03 18:48
        
        User since
        2005-01-17
        14875 Artikel
        Admin1
        
        Guest sonk1980
        Ich bin nicht scharf darauf, die Rechte zu ändern, da es jedoch in der empfohlenen Anleitung steht, habe ich mal nachgefragt...
        suexec schien vorinstalliert (redhat 9) zu sein
        
        Ähm, die Anleitung, kann nur als Richtschnur dienen und muss nicht zur Distribution des Linux passen.
        
        Vorsichtig sein: Wenn man auf dem Server als root mal unvorsichtigerweise was verwurschtelt hat, hilft oft nur nur De-/Neuinstallation des Apache samt suexec.
        Ob bei REHEL oder anderen.
        die Drachin Gwen
        
        Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
        
        +10 replies
        
        Gast sonk1980
        
        2011-08-03 19:16
        
        2011-08-03T16:48:13 GwenDragon
        Ähm, die Anleitung, kann nur als Richtschnur dienen und muss nicht zur Distribution des Linux passen.
        
        Vorsichtig sein: Wenn man auf dem Server als root mal unvorsichtigerweise was verwurschtelt hat, hilft oft nur nur De-/Neuinstallation des Apache samt suexec.
        Ob bei REHEL oder anderen.
        
        Eine Neuinstallation möchte ich so gut es geht vermeiden. Wie du selber gemerkt hast, bin ich mit der angegebenen Anleitung überfordert und vielen Fragen sind noch offen. Wenn diese Anleitungen nur als Richtschnur dienen, hilft es Anfänger kaum weiter. Wo kann ich mich denn idiotensicher über Suexec informieren?
        Last edited: 2011-08-03 19:17:39 +0200 (CEST)
        
        +9 replies
        
        GwenDragon
        
        2011-08-03 19:50
        
        User since
        2005-01-17
        14875 Artikel
        Admin1
        
        Nichts an den Rechten suexec und den mod_... ändern!
        Nur in der Konfiguration des Servers mod_suexec aktivieren.
        Bei suexec selbst gibt es nichts zu konfigurieren!
        
        Wie Kristian in seinem Beitrag msg #151048 schrieb, kannst du ein Skript unter Apache und suexec nur unter einem bestimmten Benutzer und Gruppe laufen lassen.
        
        Quote
        Wenn diese Anleitungen nur als Richtschnur dienen, hilft es Anfänger kaum weiter.
        Ja, das ist mir klar.
        Was du mit suexec erreichen willst, geht nicht.
        suexec dient ja gerade dazu, Programme/CGI in einen Käfig zu sperren, mit wenig Rechten auszuführen.
        Last edited: 2011-08-03 19:52:50 +0200 (CEST)
        die Drachin Gwen
        
        Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
        
        +5 replies
        
        Gast sonk1980
        
        2011-08-03 20:06
        
        2011-08-03T17:50:27 GwenDragon
        Was du mit suexec erreichen willst, geht nicht.
        
        ups. Meinst du damit, dass es mit suexec NICHT möglich ist, dass ein webuser diverse Dateien in seinem home-verzeichniss modifizieren kann? Da bin ich wieder vorne angelangt bei der Frage, wie ich mein Problem lösen kann
        konkret sollte mein perl/CGI-Skript Inhalt der Txt-Datei anzeigen. Der user kann denn Inhalt ändern, danach neu speichern, evtl. löschen.
        
        Last edited: 2011-08-03 20:08:33 +0200 (CEST)
        
        GwenDragon
        
        2011-08-03 20:21
        
        User since
        2005-01-17
        14875 Artikel
        Admin1
        
        Quote
        Meinst du damit, dass es mit suexec NICHT möglich ist, dass ein webuser diverse Dateien in seinem home-verzeichniss modifizieren kann?
        
        Solange das Heimverzeichnis des Nutzers nicht unterhalb des Webserverroots ist (ist im Allgemeinen so!) oder ein Symlink unterhalb Webserverroots auf die Dateien existiert und das Programm nicht mit den Gruppen-/Rechten des Nutzers ausgeführt wird, geht das nicht.
        
        die Drachin Gwen
        
        Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
        
        GwenDragon
        
        2011-08-03 20:28
        
        User since
        2005-01-17
        14875 Artikel
        Admin1
        
        Nachtrag:
        
        Laut Apache kann mit dem Eintrag in der VirtualHost-Konfiguration
        
        Code: (dl )
        
        UserDir public_html
        
        im Verzeichnis /home/USER/public_html auf Inhalte zugegriffen werden.
        Dort könntest du dann Dateien oder Symlinks drauf reinlegen.
        
        Wenn du nicht willst, dass jemand von Außen über den Browser was ausliest müsstest du eine folgende Konfiguration verwenden, wenn in deinem Verzeichnis Mydata alle änderbaren Dateien liegen sollen:
        
        Code: (dl )
        
        1 2 3 4
        
        UserDir MyData <DirectoryMatch "^/home/USER/MyData"> deny from all </DirectoryMatch>
        
        Last edited: 2011-08-03 20:54:14 +0200 (CEST)
        die Drachin Gwen
        
        Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
        
        +2 replies
        
        kristian
        
        2011-08-03 20:30
        
        User since
        2005-04-14
        684 Artikel
        BenutzerIn
        
        definiere bzw. erkläre webuser
        WebUser gibt es als Schlagwort in Anwendungen wie Plesk oder Confixx.
        
        Wenn du damit aber den 0815-Internetbenutzer meinst, der deine Seite besucht, geht es definitiv nicht, es sei denn du hättest für jeden 0815 eine Subdomain mit eigenem Virtual-Host, den 0815 als User im System angelegt und den V-Host mit den Daten gefüttert.
        
        Gast sonk1980
        
        2011-08-03 23:57
        
        MIt dem Webuser meine ich einen user, der bereits im system angelegt ist und mit diesem Namen und Passwort, mit dem er sich normalerweise im System anmeldet, auch ZUgang (über .htaccess) zu meiner webseite bekommt. Jeder dieser user hat auch ein eigenes Verzeichnis unter home, z.b. /home/user123
        Die Skripte liegen jedoch in einem ganz anderen Pfad /var/www/cgi.bin....
        Last edited: 2011-08-04 00:01:50 +0200 (CEST)
        
        +3 replies
        
        Gast sonk1980
        
        2011-08-30 17:28
        
        Es ist schon eine Weile her, hab das Problem immernoch nicht gelöst.
        hab in http://docs.1h.com/Suexec folgendes gelesen
        
        So SuExec does several checks before executing a script. A few of those are:
        
        check if the directory is owned by the same user
        check if the file is owned by the same user
        
        In meinem Fall müßte es bedeuten, dass mein Skript pro user (der es benutzen wird)- in seinem verzeichnis- exisitieren muss und er diese erstellt hat.
        Sehe ich das richtig? Ist es die einzige Möglichkeit?
        
        +2 replies
        
        GwenDragon
        
        2011-08-30 17:38
        
        User since
        2005-01-17
        14875 Artikel
        Admin1
        
        Das Skript muss sich im/unterhalb des Documentrootverzeichnis des Nutzers befinden und mit der UserID:GroupID des Users dieses Verzeichnisses laufen.
        Und das Skript kann nur auf Daten zugreifen, die sich im/unterhalb des Documentrootverzeichnis des Nutzers befinden.
        Last edited: 2011-08-30 17:47:44 +0200 (CEST)
        die Drachin Gwen
        
        Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
        
        Gast sonk1980
        
        2011-08-30 18:19
        
        ok, immerhin hab ich es also richtig verstanden :)
        Dan ist Suexec nicht genau das was ich suche..Gibt es da andere Lösungen für folgenden Sachverhalt?
        nochmals zusammengefasst:
        System-user sollen die Möglichkeit bekommen, online ihre Datein im ihrem Homeverzeichnis ändern, löschen, erstellen können...
        Last edited: 2011-08-30 18:22:13 +0200 (CEST)
        
        gelöscht 2011-08-03 18:24
    - +2 replies
    - GwenDragon
      
      2011-08-03 13:27
      
      User since
      2005-01-17
      14875 Artikel
      Admin1
      
      mit suexec gestartete Perl-Programme haben immer die Nutzer- und Gruppenzugehörigkeit, die wie Kristian schon sagte, in der Konfiguration eingerichtet ist.
      Und ein sudo wird nicht funktionieren. Die Gruppe webgroup gehört garantiert nicht zu den sudoers! Wäre auch ein merkwürdiges Sicherheitskonzept.
      Rechte, die nach Shell-Login dem Nutzer zugewiesen werden, sind andere als für Webbenutzer.
      Last edited: 2011-08-03 13:29:14 +0200 (CEST)
      die Drachin Gwen
      
      Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
      - Gast sonk1980
        
        2011-08-03 15:18
        
        2011-08-03T11:27:15 GwenDragon
        . Die Gruppe webgroup gehört garantiert nicht zu den sudoers! .
        
        Wäre also webgroup in meinem Fall apache ( da in meiner config die group apache ist) ? analog zu meiner Frage von oben?
        chgrp webgroup /usr/local/apache2/bin/suexec
        chmod 4750 /usr/local/apache2/bin/suexec
        
        In meiner Konfig ist die group apache und suexec liegt vermutlich in usr/sbin/suexec (laut locate suexec). Müßte ich also die Befehle wie folgt ändern:
        chgrp apache /usr/sbin/suexec
        chmod 4750 /usr/sbin/suexec
        
        Zur Info: Rechte, die nach Shell-Login dem Nutzer zugewiesen werden, sind andere als für Webbenutzer.. interessante Info. Wie komme ich aber damit weiter?
        ist es nun möglich, dass user1 der normalerweise nach dem Shell-login in seinem home-verzeichnis dateien modifizieren kann, das gleiche auch als webbenutzer machen kann?
  - Gast sonk1980
    
    2011-08-03 15:24
    
    2011-08-03T09:31:36 bianca
    Guest sonk1980
    Ich habe veruscht, mich in Suexec hineinzulesen, aber ich konnte einfach nicht durchblicken.
    
    http://httpd.apache.org/docs/current/suexec.html
    Wenn du das nicht durchblicken konkretisieren könntest oder in Fragen formulierst kann dir vielleicht besser geholfen werden.
    
    Achso. Meinst du chmod 4750 /usr/local/apache2/bin/suexec.
    Warum ich das tun möchte? weil im empfohlenen Support [http://httpd.apache.org/docs/2.0/suexec.html] steht: you should run ...
    Da ich selbst unsicher war, habe ich nachgefragt...
    Last edited: 2011-08-03 15:29:08 +0200 (CEST)

View all threads created 2011-08-03 11:15.