跳到主要內容

如何使用root以外的使用者去執行service?

Problem

如果一個擁有root權限的App被攻破了,駭客就能為所欲為,對系統造成的危害肯定不小。所以怎麼樣的應用程式,就應該給予對應的存取權限,而不能因為方便直接給予最大權限。接下來就看看我Study結果吧!

(本篇文章主要不是在教大家如何讓process變為service,而是著重於用怎樣的使用者去執行service的process)

How to?

新增帳號與群組 | 修改目錄擁有者 | 移除帳號

如果沒有特殊需求,只需要透過以下指令就可以完成:

# 新增群組
groupadd -r TonyApp
# 新增系統使用者
useradd -r -d /opt/TonyApp -s /bin/bash -g TonyApp TonyApp
# 將使用者設為daemon
gpasswd -a TonyApp daemon

設定App目錄擁有者,原本如果是root,App可能會完全無法動:

chown -R TonyApp:TonyApp /opt/TonyApp

強制移除root權限帳號:

userdel -r -f TonyApp

更多權限的帳號

由於我的App會存取到硬體相關指令或裝置,如fdisk、/dev/mem,因此我必須給與對應的權限。我可以直接透過以下指令確認是否能執行:

# 轉換使用者
su TonyApp
# 測試指令
dmidecode
fdisk /dev/sda

在賦與權限前,必然是不可行的。因此有以下幾個做法:

設定權限到system group

可以從/etc/group中得知有哪些對應的群組,也可以看這篇文章。如果要給予存取disk權限可以使用:

gpasswd -a TonyApp disk

直接指定root並不代表它真的擁有存取所有東西的權限,最好也是根據你要什麼就設定什麼。測試到目前,就屬/dev/mem沒轍,因此才有其它的試驗。

指定uid為0

useradd -r -d /opt/TonyApp -s /bin/bash -ou 0 -g root TonyApp

如果使用ps aux去查service的process,會發現執行者是root。

setuid

如修改密碼的passwd一般,認何人都可以透過root權限去執行它。可以透過以下方是去做設定:

chown 0:0 myprocess
chmod +s myprocess

然而,如果將這個方法設定到java程式上,可能就會遇到找不到libjli.so的問題。可以參考此篇去設定ld config,就能解決問題。這方法與指定uid為0一樣,都是以root去執行process。

將帳號加到sudo中

只要編輯/etc/sudoers,將使用者如下方方式加進去,就能透過sudo指令去執行你想要的東西:

TonyApp    ALL=(ALL)       ALL

如果要略過輸入密碼,可以這樣設定:

TonyApp    ALL=(ALL) NOPASSWD: ALL

NOPASSWD後面最好可以根據你要執行的指令設定,以減少安全上的問題,如:

TonyApp   ALL=(ALL) NOPASSWD: /usr/sbin/dmidecode

Summary

我個人是比較偏好將帳號設定對應的System Group,但由於我們軟體要存取mem的關係,這方法無法滿足我需求。指定uid為0與setuid的方式,其實都是以root去啟動process了,似乎也失去了初衷。因此,本次Study就純粹當學習,之後有時間再看看有沒有其它方法。

Reference

留言

這個網誌中的熱門文章

PostgreSQL - Unattended installation on windows

Introduction 要將別人軟體包裝到自己軟體中,不可或缺的東西就是Unattended installation。以Unattended installation來說,我們可以選擇透過Installer的silent mode安裝,也可以透過把目標軟體做成portable的版本。本篇文章分享這兩種方法,教導大家如何將PostgreSQL透過Unattended installation方式安裝到目標系統成為service。 Note. 本篇以PostgreSQL 10.7為例。 Install with installer Tips 安裝程式或反安裝程式的參數,除了可以直接上官網搜尋Installation User Guide以外,也可以直接使用help參數查詢: postgresql- 10.7 - 2 -windows-x64.exe --help Windows安裝程式主要有EnterpriseDB與BigSQL兩種。BigSQL版本安裝元件是透過網路下載且支援參數不如EnterpriseDB版本多,以我們需求來說,我們傾向於使用EnterpriseDB版本。接下來分享給大家安裝與反安裝方法。 Installation @ echo off set INSTALL_DIR =C:\postgres10 set INSTALLER =postgresql- 10.7 - 2 -windows-x64.exe   rem options for installation set SSMDB_SERVICE =postgresql- 10 set MODE =--unattendedmodeui none --mode unattended   set DB_PASSWD =--superpassword postgres set DB_PORT =--serverport 5432   set SERVICE_NAME =--servicename % SSMDB_SERVICE %   set PREFIX =--prefix "%INSTALL_DIR%" set DATA_DIR =--datadir "%INSTALL_DIR%\data"   set OPTIONS =

How to install RIDE on Windows?

Introduction 多年沒在Windows上開發RobotFramework,趁著這次整理一下RIDE安裝方法。 目前RIDE最新版本與Python對應版本如下: (3.6 < python <= 3.11) Install current released version (2.0.8.1) with: pip install -U robotframework-ride 安裝Python 直接到Python官網找尋最新的3.11版本,我使用3.11.9: link 。安裝就是一直下一步而已。 安裝wxPython 每次安裝RIDE最困難的都是wxPython。看了一下 官網 描述,我就姑且相信一下: 接著進入下 載頁面 就有安裝教學。基本上就是到Python目錄下的Scripts直接執行以下command: pip install -U wxPython 安裝RIDE 接著就如RIDE官網所說,執行以下command: pip install -U robotframework-ride 啟動RIDE 直接在相同目錄下執行ride就可以啟動了,你也可以直接在桌面建ride連結,加快下次啟動時間。 沒想到這次這麼順利就安裝完成了。因為我是使用java去啟動robot framework,就不特別講要怎麼使用pip安裝robot framework了。

Hello World!

即將要搬家,因此舊網頁內容將慢慢轉移至Blogger。 如果要存取舊網頁,可以使用以下連結: https://wiki.tonylin.idv.tw/dokuwiki/doku.php