Entweder das oder man nutzt suexec im Apachen.

[quote=betterworld,08.03.2006, 21:55]pq: Wird bei einem execv(e) nicht die euid auf die uid gesetzt, falls das auszufuehrende Programm nicht setuid ist?[/quote]
ähm... ich verstehe die frage nicht.
unter linux kannst du (jedenfalls hier) kein perl-skript auf setuid setzen, bzw.
es hat keinen effekt. aber es geht mit binaries. das heißt, wrapper.cgi
wird als root ausgeführt und führt nun das perl-skript auch als root aus.
oder habe ich dich falsch verstanden?

[quote=pq,09.03.2006, 13:46][quote=betterworld,08.03.2006, 21:55]pq: Wird bei einem execv(e) nicht die euid auf die uid gesetzt, falls das auszufuehrende Programm nicht setuid ist?[/quote]
ähm... ich verstehe die frage nicht.[/quote]
sorry, ich habe das gerade ausprobiert und es hat sich herausgestellt, dass ich mich geirrt hatte.

Hallo Community,

ich habe da mal selbst eine Frage zu Apache + root.

Kann man den Apache darum bitten, dass er von den vielen
http-Deamons eine bestimmte Anzahl als root startet und
auch, dass diese root-http-Deamons nur für bestimmte
Requests zuständig sind?

Greez,
opi\n\n

<!--EDIT|opi|1141914769-->

Nein, sowas geht nicht. Wenn man CGIs unter anderen Usern laufen lassen will: http://httpd.apache.org/docs/2.2/suexec.html
Das sollte denke ich die beste und sicher auch ausgereifteste Variante sein...

opi: Du koenntest mit dem P-flag (P fuer Proxy) von RewriteRule bestimmte Requests an andere Apaches weiterleiten. So wirklich die dolle Idee ist es aber wirklich nicht, Apache als root laufen zu lassen. Wahrscheinlich ist der Anteil dieses riesigen Code-Haufens, der wirklich die Privilegien benoetigt, sehr vernachlaessigbar. Wenn es Dir um CGI-Skripte geht, solltest Du das Problem so loesen, wie es weiter oben besprochen wurde.

Mit suEXEC kann man allerdings keine Programme als root laufen lassen. Das steht explizit in der Dokumentation:

Quote

Presently, suEXEC does not allow root to execute CGI/SSI programs.

In meinen Augen ist es auch nicht gerade intelligent, ein CGI-Programm unter dem root Benutzerkonto auszuführen. Da gibt es bestimmt eine weniger radikale Lösung. Man muss Sicherheitsprobleme ja nicht herausfordern...

Vor genau dem gleichen Problem stand ich auch.
Und ich habe mich jetzt entschieden das Script an einem Port lauschen zu lassen und darüber auszuführen.

Der Rest hat mir irgendwie nicht so gefallen.