RES: [shell-script] usuario apache e seguranca

[Rodolfo Villanova]

Pablo & amigos,

Certa vez tive uma dúvida semelhante que debatí em "private" com um de
nossos mestres em Shell-script, prof. Julio Neves.
Como o assunto é bastante interessante, guardei a troca de mensagens.

Segue abaixo um pedaço que não sei se vai ajudar integralmente no intento,
mas vai subsidiar de forma interessante o teu caminho de pesquisa.

> > -----Original Message-----
> > From: Julio Cezar Neves - DISB.O
> > [mailto:address@hidden]
> > Sent: quinta-feira, 11 de abril de 2002 12:10
> > To: Rodolfo Villanova_HP; Julio Cezar Neves - DISB.O
> > Cc: 'address@hidden'
> > Subject: RES: Troca de owner de arquivo executável
> >
> >
> > Ola´Rodolfo,
> > vc dar permissão para executar um script, não quer dizer que tb deu
> > permissão para executar as instruções.
> > Faça um teste não destrutivo:
> > crie um diretório (digamos, para ser original, dir:) onde
> vc não tenha
> > permissão de gravação. Em seguida faça o script do jeito que
> > vc descreveu
> > que tenha um único comando:
> > cp arq dir
> > vc verá que vc só conseguirá executá-lo corretamente se for
> > root ou tiver
> > permissão de gravação no dir.
> >
> > Para fazer o que vc queria, seria necessário fazer tudo que
> > vc descreveu,
> > porém o root teria que fazer:
> > chmod 4777 script
> > este 4 ai na frente chama-se SUID (set user id) e significa que quem
> > executar o script terá os direitos do dono do script (neste
> > caso o root).
> > Apesar do SUID só poder ser ativado pelo dono do script,
> por motivo de
> > segurança não são todos os sabores que o suportam. Se vc
> > quizer testar no
> > HP-UX, não esqueça de inserir aquela famigerada:
> > #!/bin....
> > no início do script. No SVR4 o SUID só funciona com ela.
> >
> > [ ]s,
> > Julio

Bom proveito e boa sorte,
------------------------------
Rodolfo Daniel Gross Villanova

> -----Mensagem original-----
> De: Pablo Fernandes Yahoo [mailto:address@hidden]
> Enviada em: segunda-feira, 28 de fevereiro de 2005 14:00
> Para: address@hidden
> Assunto: Re: [shell-script] usuario apache e seguranca
>
> Amigo Gentil,
> A pergunta de shell script é: Qual a forma mais segura de um shell
> script (com comandos de root) ser executado por um usuário não root?
>
> Eu conheço alguns anos as regras dessa lista. Normalmente, não
> discutiria com você. Desculpem qualquer coisa.
>
> Obrigado Adiantado
> Pablo Fernandes
>
> Gentil de Bortoli Júnior wrote:
> > Creio que muitos membros do grupo ainda não entenderam que mencionar a
> > palavra "script" NÃO faz com que mensagens como essa passem a
> ser on-topic.
> >
> > Onde está a dúvida/dica/idéia/whatever sobre Shell Script?
> >
> > Aproveitando o gancho:
> >
> >
> > Pablo Fernandes Yahoo wrote:
> >
> >>Caros amigos,
> >>
> >>Tenho um script que adicionar regras de iptables, mexe no squid.conf e
> >>reinicia o proxy squid, mexe no dhcpd.conf e reinicia o servidor dhcpd,
> >>adiciona arquivos do cbq e reinicia o cbq. bom, mesmo que nem todos
> >>conheçam todos esses softwares, o importante é que estou querendo que o
> >>usuário apache reinicie alguns serviços (executados por um script) da
> >>forma mais segura. Alguém sabe como eu poderia fazer?
> >>
> >>Atualmente faço com o sudo. mas não sei como faço para deixar o apache
> >>apenas reiniciar o servico. Dei por testes em minha máquina, total
> >>permissão ao apache para executar qualquer coisa (algo que não posso
> >>colocar em campo, pq nao eh seguro).
> >>
> >>Qualquer ajuda é bem vinda
> >>cordialmente
> >>Pablo Fernandes