Zgodnie z obietnicą dzisiaj część dotycząca bezpiecznego uruchamiania zewnętrznych skryptów PHP. Od razu mówię, że nie jestem jakimś guru dot. zabezpieczeń systemów Unix. Zebrałem rozsypane po internecie informacje i spróbowałem złożyć to w całość.
Gist został uaktualniony o klasę ICMPPingProcesser — rzućcie okiem. Posłuży jako baza do naszych działań.
Jak już wspomniałem w poprzednim wpisie, w Linuksie nie można wykonać polecenia socket_create() na typowym użytkowniku Apache, czyli www-data. Aby obejść ten problem skorzystałem z polecenia posix_seteuid(0) zmieniającego użytkownika procesu na roota na czas życia obiektu ICMPPing. Z kolei aby wykonać to polecenie musimy stać się rootem :-). Z terminala nic trudnego:
sudo php icmp.php http://spiechu.pl
Zostaniemy zapytani o hasło i dostajemy odpowiedź skryptu. Problem pojawia się gdy chcemy wywołać polecenie z poziomu innego skryptu PHP. W Ubuntu nie da się/nie umiem (a próbowałem na wiele sposobów) wpisać hasła dla sudo z poziomu lini komend. Wobec tego trzeba zmusić sudo aby nie pytał o hasło. Oczywiście opcja aby nadać użytkownikowi www-data wszystkie uprawnienia roota na stałe nie wchodzi w grę. Trzeba maksymalnie zawęzić „pole manewru” dla www-data.
Wobec tego przyczepiamy się do pliku /etc/sudoers, który przechowuje uprawnienia związane z poleceniem sudo. Przypominam, że plik sudoers należy edytować wyłącznie za pomocą polecenia visudo, a więc w terminalu:
sudo visudo
i jedziemy z edycją:
# Ustawiamy kilka aliasow
# gdy skryptow zrobi sie sporo
# bedzie latwiej zarzadzac tym balaganem
User_Alias APACHE_USER = www-data
Runas_Alias ROOT_USER = root
Host_Alias PHP_MACHINE = dave-ubunciak
Cmnd_Alias ICMP_SCRIPT = /usr/bin/php /home/dave/icmp.php http\://*
# Wlasciwe polecenie
APACHE_USER PHP_MACHINE = (ROOT_USER) NOPASSWD: ICMP_SCRIPT
Polecenie można przetłumaczyć tak: Użytkownik www-data na maszynie dave-ubunciak jako root może wykonać skrypt php o nazwie icmp.php bez hasła z parametrem rozpoczynającym się od http://. Wszelkie odstępstwa będą traktowane komunikatem sudo: no tty present and no askpass program specified Sorry, try again. Od tego momentu możemy w dowolnym skrypcie wywoływać:
// na czas developmentu warto na koncu polecenia wpisac
// 2>&1 dzieki czemu strumien stderr przekierujemy na wyjscie
$process = shell_exec('sudo php /home/user/icmp.php http://www.spiechu.pl');
echo $process;Co jeszcze można zrobić z samym plikiem icmp.php? Możemy zmienić mu użytkownika i grupę na root i ograniczyć możliwość jego wykonania wyłącznie do roota, czyli:
sudo chown root icmp.php
sudo chgrp root icmp.php
sudo chmod 400 icmp.php
Na koniec przyczepię się do samego icmp.php. Napisałem klasę ICMPPingProcesser, która sprawdza czy podany adres www jest prawidłowy i odsiewa wszystko poza podstawowym adresem hosta. Poniżej przytaczam w całości:
class ICMPPingProcesser
{
/**
* @var string
*/
protected $urlAddress;
/**
* @param string $urlAddress
*/
public function __construct($urlAddress)
{
$this->urlAddress = $urlAddress;
}
/**
* Returns 'Trying {$urlAddress}: PING RESPONSE: Everything OK'
* when url address replied correctly
*
* @return string
*/
public function ping()
{
try {
$message = '';
$urlToPing = $this->processUrl($this->urlAddress);
if (!$this->isUrlExists($urlToPing)) {
throw new Exception("{$urlToPing} doesn't exist!");
}
$icmp = new ICMPPing();
$respond = $icmp->sendPacket($urlToPing, 'Everything OK');
$message = "Trying {$urlToPing}: ";
$message .= "PING RESPONSE: {$icmp->analyzeRespond($respond)}";
return $message;
} catch (Exception $e) {
$message .= $e->getMessage();
return $message;
}
}
/**
* Returns sanitized url host from param
*
* @param string $urlAddress
* @return string url host
* @throws Exception when url address is not valid
*/
protected function processUrl($urlAddress)
{
$sanitizedUrl = filter_var($urlAddress, FILTER_SANITIZE_URL);
if ($sanitizedUrl === false || filter_var($sanitizedUrl, FILTER_VALIDATE_URL) === false) {
throw new Exception("{$urlAddress} is not valid URL");
}
return parse_url($sanitizedUrl, PHP_URL_HOST);
}
/**
* Checks if url address exists
*
* @param string $urlAddress
* @return boolean
*/
protected function isUrlExists($urlAddress)
{
if (gethostbyname($urlAddress) === $urlAddress) {
return false;
}
return true;
}
}
if (PHP_SAPI === 'cli' && isset($_SERVER['argv'][1])) {
$pingProcesser = new ICMPPingProcesser($_SERVER['argv'][1]);
echo $pingProcesser->ping();
} else {
echo 'Not in cli mode or agument not set';
}Ostatnie kilka linijek sprawdza czy skrypt odpalany jest w trybie lini komend i czy istnieje jakiś argument.
Czytaj dalej tutaj (rozwija treść wpisu)
Czytaj dalej na blogu autora...
Zwiń
Czytaj na blogu autora...
Kanał ATOM
