SuEXEC
SuEXEC - Kurzbeschreibung
Beschreibung
Die Funktion suEXEC bietet Benutzern des Apache HTTP Servers die Möglichkeit, CGI- und SSI-Programme unter anderen Benutzerkennungen als der Benutzerkennung des aufrufenden Webservers auszuführen
- Normalerweise wird ein CGI- oder SSI-Programm unter demselben Benutzer ausgeführt, unter dem auch der Webserver läuft
Richtig eingesetzt, kann diese Funktion die Sicherheitsrisiken erheblich verringern, die damit verbunden sind, dass Benutzer private CGI- oder SSI-Programme entwickeln und ausführen können
- Wenn suEXEC jedoch nicht richtig konfiguriert ist, kann es eine Reihe von Problemen verursachen und möglicherweise neue Sicherheitslücken auf Ihrem Computer schaffen
- Wenn Sie mit der Verwaltung von Setuid-Root-Programmen und den damit verbundenen Sicherheitsproblemen nicht vertraut sind, empfehlen wir Ihnen dringend, die Verwendung von suEXEC nicht in Betracht zu ziehen
Sicherheitsmodell
Bevor wir mit der Konfiguration und Installation von suEXEC beginnen, werden wir zunächst das Sicherheitsmodell besprechen, das Sie implementieren wollen
- Auf diese Weise können Sie besser verstehen, was genau in suEXEC vor sich geht und welche Vorkehrungen getroffen werden, um die Sicherheit Ihres Systems zu gewährleisten
suEXEC basiert auf einem Setuid-"Wrapper"-Programm, das vom Apache-HTTP-Hauptserver aufgerufen wird
- Dieser Wrapper wird aufgerufen, wenn eine HTTP-Anfrage für ein CGI- oder SSI-Programm gestellt wird, das der Administrator zur Ausführung unter einer anderen Benutzerkennung als der des Hauptservers bestimmt hat
- Bei einer solchen Anfrage übergibt der Apache httpd dem suEXEC-Wrapper den Namen des Programms sowie die Benutzer- und Gruppen-IDs, unter denen das Programm ausgeführt werden soll
suEXEC-Prozess
Der Wrapper wendet dann den folgenden Prozess an, um Erfolg oder Misserfolg festzustellen - wenn eine dieser Bedingungen fehlschlägt, protokolliert das Programm den Fehler und beendet sich mit einer Fehlermeldung, andernfalls wird es fortgesetzt:
- Sicherheitsmodell
Dies ist die Standardoperation des Sicherheitsmodells des suEXEC-Wrappers
- Ist etwas streng
- Kann neue Einschränkungen und Richtlinien für das CGI/SSI-Design mit sich bringen
- Es wurde sorgfältig Schritt für Schritt unter Berücksichtigung der Sicherheit entwickelt
Weitere Informationen siehe Warnungen und Beispiele
Schritt | Prüfung | Beschreibung |
---|---|---|
1 | Systembenutzer |
|
2 | Argumente |
|
3 | Wrapper-Berechtigung |
|
4 | Sichere Referenzen |
|
5 | Zielbenutzer |
|
6 | Zielgruppe |
|
7 | Superuser |
|
8 | User-ID |
|
9 | Superuser Gruppe |
|
10 | Group-ID |
|
11 | User-Wechsel |
|
12 | Verzeichnis-Wechsel |
|
13 | Webspace |
|
14 | Verzeichnis-Rechte |
|
15 | Ziel-Programm |
|
16 | Rechte Ziel-Programm |
|
17 | setuid/setgid |
|
18 | Programm-Eigentümer |
|
19 | Prozessumgebung |
|
20 | Programm-Ausführung |
|
Installation
- Konfigurieren und Installieren von suEXEC
Kompilieren und Installieren
- Kompilieren und Installieren des suEXEC-Wrappers
Wenn Sie die suEXEC-Funktion mit der Option --enable-suexec aktiviert haben, wird das suexec-Binary (zusammen mit httpd selbst) automatisch erstellt, wenn Sie den Befehl make ausführen
Nachdem alle Komponenten erstellt wurden, können Sie den Befehl make install ausführen, um sie zu installieren
- Das Binärabbild suexec wird in dem Verzeichnis installiert, das mit der Option --sbindir festgelegt wurde
- Das Standardverzeichnis ist "/usr/local/apache2/bin/suexec"
Bitte beachten Sie, dass Sie für den Installationsschritt root-Rechte benötigen
- Damit der Wrapper die Benutzer-ID setzen kann, muss er als Eigentümer root installiert sein und das Ausführungsbit setuserid für Dateimodi gesetzt haben
- suEXEC-Konfigurationsoptionen
--enable-suexec | Diese Option aktiviert die suEXEC-Funktion, die standardmäßig nie installiert oder aktiviert ist
|
--mit-suexec-bin=PATH | Der Pfad zum Suexec-Binary muss aus Sicherheitsgründen im Server fest codiert sein
|
--with-suexec-caller=UID | Der Benutzername, unter dem httpd normalerweise läuft
|
--with-suexec-userdir=DIR | Definieren Sie das Unterverzeichnis unter den Home-Verzeichnissen der Benutzer, auf das suEXEC Zugriff haben soll
|
--with-suexec-docroot=DIR | als DocumentRoot-Satz für httpd definieren
|
--mit-suexec-uidmin=UID | Definieren Sie dies als die niedrigste UID, die ein Zielbenutzer für suEXEC sein darf
|
--mit-suexec-gidmin=GID | Definieren Sie dies als die niedrigste GID, die eine Zielgruppe für suEXEC sein darf
|
--with-suexec-logfile=FILE | Dies definiert den Dateinamen, in dem alle suEXEC-Transaktionen und Fehler protokolliert werden (nützlich für Auditing- und Debugging-Zwecke)
|
--mit-suexec-sicherheitspfad=PATH | Definieren Sie eine sichere PATH-Umgebung, die an die ausführbaren CGI-Programme übergeben wird
|
Berechtigungen
- Paranoide Berechtigungen festlegen
Obwohl der suEXEC-Wrapper prüft, ob sein Aufrufer der richtige Benutzer ist, wie mit der Konfigurationsoption --with-suexec-caller angegeben, besteht immer die Möglichkeit, dass ein System- oder Bibliotheksaufruf, den suEXEC vor dieser Prüfung verwendet, auf Ihrem System ausgenutzt werden kann
- Um dem entgegenzuwirken, und weil es generell die beste Vorgehensweise ist, sollten Sie die Dateisystemberechtigungen verwenden, um sicherzustellen, dass nur die Gruppe, unter der httpd läuft, suEXEC ausführen darf
Wenn Ihr Webserver zum Beispiel so konfiguriert ist, dass er als:
Benutzer wwwGruppe webgroup
und suexec unter "/usr/local/apache2/bin/suexec" installiert ist, sollten Sie folgendes ausführen:
# chgrp webgroup /usr/local/apache2/bin/suexec # chmod 4750 /usr/local/apache2/bin/suexec
Damit wird sichergestellt, dass nur die Gruppe, unter der httpd läuft, auch den suEXEC-Wrapper ausführen kann
Aktivieren und Deaktivieren
Beim Start von httpd sucht er nach der Datei suexec in dem durch die Option --sbindir definierten Verzeichnis (Standard ist "/usr/local/apache/sbin/suexec")
- Wenn httpd einen ordnungsgemäß konfigurierten suEXEC-Wrapper findet, gibt er die folgende Meldung in das Fehlerprotokoll ein:
[notice] suEXEC-Mechanismus aktiviert (Wrapper: /path/to/suexec)
Wenn Sie diese Meldung beim Start des Servers nicht sehen, findet der Server das Wrapper-Programm höchstwahrscheinlich nicht dort, wo er es erwartet, oder die ausführbare Datei ist nicht als setuid root installiert
Wenn Sie den suEXEC-Mechanismus zum ersten Mal aktivieren wollen und bereits ein Apache HTTP Server läuft, müssen Sie httpd beenden und neu starten
- Ein Neustart mit einem einfachen HUP- oder USR1-Signal reicht nicht aus
Wenn Sie suEXEC deaktivieren wollen, sollten Sie httpd beenden und neu starten, nachdem Sie die suexec-Datei entfernt haben
Syntax
Optionen
Parameter
Umgebungsvariablen
Exit-Status
Anwendung
Anfragen für CGI-Programme rufen den suEXEC-Wrapper nur auf, wenn sie für einen virtuellen Host bestimmt sind, der eine SuexecUserGroup-Direktive enthält, oder wenn sie von mod_userdir verarbeitet werden
- Virtuelle Hosts
Eine Möglichkeit, den suEXEC-Wrapper zu verwenden, ist die Direktive SuexecUserGroup in den VirtualHost-Definitionen
- Wenn diese Direktive auf Werte gesetzt wird, die sich von der Benutzer-ID des Hauptservers unterscheiden, werden alle Anfragen für CGI-Ressourcen als der für diesen <VirtualHost> definierte Benutzer und die Gruppe ausgeführt
- Wenn diese Direktive für einen <VirtualHost> nicht angegeben wird, wird die Benutzer-ID des Hauptservers angenommen
- Benutzerverzeichnisse
Anfragen, die von mod_userdir verarbeitet werden, rufen den suEXEC-Wrapper auf, um CGI-Programme unter der Benutzerkennung des angeforderten Benutzerverzeichnisses auszuführen
- Die einzige Voraussetzung für diese Funktion ist, dass die CGI-Ausführung für den Benutzer aktiviert ist und dass das Skript die oben genannten Sicherheitsüberprüfungen erfüllt
- Siehe auch die Option --with-suexec-userdir zur Kompilierzeit
Warnungen und Beispiele
- Vorsicht vor dem Jabberwock
Weitere Informationen darüber, wie dieses Sicherheitsmodell Ihre Möglichkeiten in Bezug auf die Serverkonfiguration einschränken kann und welche Sicherheitsrisiken mit einer korrekten suEXEC-Einrichtung vermieden werden können.
Es gibt ein paar interessante Punkte bezüglich des Wrappers, die zu Einschränkungen bei der Servereinrichtung führen können
- Bitte überprüfen Sie diese, bevor Sie "Bugs" in Bezug auf suEXEC einreichen
- Wichtige Aspekte
- Einschränkungen der Hierarchie aus Sicherheits- und Effizienzgründen müssen alle suEXEC-Anfragen entweder innerhalb eines Dokumentstammes der obersten Ebene für VirtualHost-Anfragen oder eines persönlichen Dokumentstammes der obersten Ebene für Userdir-Anfragen bleiben
- Wenn Sie z. B. vier VirtualHosts konfiguriert haben, müssen Sie die Dokument-Roots all Ihrer VHosts von einer Haupt-Httpd-Dokumentenhierarchie aus strukturieren, um die Vorteile von suEXEC für VirtualHosts zu nutzen. (Beispiel in Kürze)
- die Umgebungsvariable PATH von suEXEC Es kann gefährlich sein, diese Variable zu ändern
- Stellen Sie sicher, dass jeder Pfad, den Sie hier angeben, ein vertrauenswürdiges Verzeichnis ist
- Sie wollen nicht, dass jemand aus der ganzen Welt einen Trojaner auf sie loslässt
- Ändern des suEXEC-Codes Auch hier kann es zu großen Problemen kommen, wenn Sie dies versuchen, ohne zu wissen, was Sie tun
- Halten Sie sich davon fern, wenn es irgend möglich ist
Fehlerbehebung
Der suEXEC-Wrapper schreibt die Log-Informationen in die Datei, die mit der Option --with-suexec-logfilewie oben angegeben definiert wurde
- Wenn Sie der Meinung sind, dass Sie den Wrapper richtig konfiguriert und installiert haben, sehen Sie sich dieses Protokoll und das error_log des Servers an, um festzustellen, wo Sie möglicherweise in die Irre gegangen sind