Nie jesteś zalogowany.
Jeśli nie posiadasz konta, zarejestruj je już teraz! Pozwoli Ci ono w pełni korzystać z naszego serwisu. Spamerom dziękujemy!

Ogłoszenie

Prosimy o pomoc dla małej Julki — przekaż 1% podatku na Fundacji Dzieciom zdazyć z Pomocą.
Więcej informacji na dug.net.pl/pomagamy/.

#1  2012-05-28 19:33:47

  desavil - Użytkownik

desavil
Użytkownik
Zarejestrowany: 2010-11-02

Blokowanie określonych poleceń userowi.

Witacie!

Postanowiłem zmienić działanie mojego systemu.
Mianowicie - obecnie aplikacje uruchamiam na swoim serwerze za pomocą serwera nanoweb, ponieważ zarówno na apache2 jak i lighttpd przy dużej ilości procesów się zawieszało i wszystko wyłączało. Takie rozwiązanie działa już u mnie bardzo długo. Dzięki niemu za pomocą PHP pobieram sobie określone dane oraz wykonuję/uruchamiam dane programy.

Przyszedł czas na zmianę, zastosowanie bardziej odpowiedniego dla tego celu rozwiązania.

Na serwerach "dzieciach" tworzyłbym użytkownika, który ma zablokowane wszystkie komendy (w celu bezpieczeństwa) oraz ma możliwość wykonywania określonych, np. może uruchamiać dane programy, tworzyć katalogi itp. (to sobie już samemu ustalam). Problem w tym, w jaki sposób mogę takie coś zrobić - takie blokowanie. Dodatkowo, chciałbym ustawić aby na tego konkretnego użytkownika można było się logować przez ssh tylko z określonych adresów IP.

Na serwerze "matce" łączę się z serwerami "dziećmi" za pomocą libssh2 (w PHP) i wykonuję sobie odpowiednie mi komendy (obecnie robię to za pomocą CURL i rozwiązania z nanoweb) i w starym przypadku niema problemu z ograniczeniem dostępu, gdyż na warunkach jest określone co użytkownik może konkretnie wykonywać, w przypadku bezpośredniego połączenia z SSH może praktycznie wszystko, co jest nie bezpieczne, np. będzie jakiś błąd w skrypcie lub na serwerze matce i ktoś, np. z tego konta coś "nabroi".

Pozdrawiam.

Ostatnio edytowany przez desavil (2012-05-28 19:42:09)

Offline

 

#2  2012-05-28 21:08:37

  torrentow - Członek Sejmowej Komisji Śledczej

torrentow
Członek Sejmowej Komisji Śledczej
Skąd: z GNU
Zarejestrowany: 2009-11-23

Re: Blokowanie określonych poleceń userowi.

Witam,
Na tym filmiku masz wyjaśnione co i jak masz zrobić na przykładzie http://www.youtube.com/watch?v=6piQXXHTmqk
Pozdrawiam,
Towarzysz Torrentow


Każdy sam sobie szkodzi :)
http://img715.imageshack.us/img715/7104/apt.png

Offline

 

#3  2012-05-28 21:37:26

  desavil - Użytkownik

desavil
Użytkownik
Zarejestrowany: 2010-11-02

Re: Blokowanie określonych poleceń userowi.

Dzięki :)

Tylko tutaj są pokazane uprawnienia do katalogów/plików.
A mnie chodzi o komendy.

Offline

 

#4  2012-05-28 22:09:47

  Jacekalex - Podobno człowiek...;)

Jacekalex
Podobno człowiek...;)
Skąd: /dev/random
Zarejestrowany: 2008-01-07

Re: Blokowanie określonych poleceń userowi.

....ponieważ zarówno na apache2 jak i lighttpd przy dużej ilości procesów się zawieszało i wszystko wyłączało

Coś dziwny ten serwer.

Grsecurity ACL na 100% - raczej hard rozwązanie, co do rozwiązań soft, to nie bardzo czaje, jak ci użyszkodnich uruchamiają te polecenia.
Jeśli przez shell, to albo chrooty, albo jakaś restrykcyjna powloka, w której można łatwo konfigurować uprawnienia, w FAQ masz przepis na powłokę ibsh.

Chrooty mozesz postawić kilkoma sposobami, nieźle się sprawdza (u mnie) jaiklkit.

Jeśli natomiast te polecenia idą przez jakiś interfejs webowy, to kombinuj ze skryptem, który obsluguje ten interfejs.

To by było na tyle
;-)

Ostatnio edytowany przez Jacekalex (2012-05-28 22:12:04)


W demokracji każdy naród ma taką władzę, na jaką zasługuje ;)
Si vis pacem  para bellum  ;)       |       Pozdrawiam :)

Offline

 

#5  2012-05-28 22:57:01

  desavil - Użytkownik

desavil
Użytkownik
Zarejestrowany: 2010-11-02

Re: Blokowanie określonych poleceń userowi.

Obecnie chodzi mi po prostu ustawienie takie, że dodam sobie użytkownika do systemu, zablokuję mu wszystkie komendy/programy i odblokuję wybrane.
Czyli, np. dodałem użytkownika łączę się przez ssh i z linii poleceń mogę wydawać tylko mkdir nic więcej.

Offline

 

#6  2012-05-29 13:42:05

  torrentow - Członek Sejmowej Komisji Śledczej

torrentow
Członek Sejmowej Komisji Śledczej
Skąd: z GNU
Zarejestrowany: 2009-11-23

Re: Blokowanie określonych poleceń userowi.

Witam,
desavil, to też można zastosować do plików jak i binarek czyli poleceń.
TIP. whereis i jazda
Pozdrawiam,
Towarzysz Torrentow


Każdy sam sobie szkodzi :)
http://img715.imageshack.us/img715/7104/apt.png

Offline

 

Stopka forum

Powered by PunBB
© Copyright 2002–2005 Rickard Andersson
Możesz wyłączyć AdBlock — tu nie ma reklam ;-)