Opcja „--up” w OpenVPN jest zwykle używana do routingu itp. Tak więc jest przetwarzana, zanim OpenVPN zrzuci uprawnienia roota do działania jak nikt. Jednak wywołuję skrypty powłoki, które muszą działać jako nieuprzywilejowany użytkownik.

Jak mogę to zrobić? Studiowałem uprawnienia Drop Process , w szczególności odpowiedzi wielomianowe i tylerl, ale nie rozumiem, jak je wdrożyć. Pracuję w Centos 6.5, a suid jest zablokowany, zarówno jako „chmod u + s”, jak i „setuid ()”.

Istnieje wtyczka OpenVPN („openvpn-down-root.so”), która umożliwia uruchamianie skryptów wywoływanych przez opcję „--down” jako root. Może istnieć odpowiednik, taki jak „openvpn-up-user.so”, ale go nie znalazłem.

Edytuj0

Według odpowiedzi Nikoli Kotur zainstalowałem runit-rpm Iana Meyera . Chociaż polecenie chpst działa w terminalu, w skrypcie up kończy się niepowodzeniem z „nie znaleziono polecenia”. Działa „sudo chpst” plus ustawienie odpowiedniego wyświetlacza i języka. Zobacz Dlaczego mój terminal nie wyświetla poprawnie znaków Unicode? Biorąc to pod uwagę, skrypt up potrzebuje następujących czterech linii:

LANG="en_US.UTF-8"; export LANG
GDM_LANG="en_US.UTF-8"; export GDM_LANG
DISPLAY=:0; export DISPLAY
sudo chpst -u user -U user /home/user/unprivileged.sh &

Edytuj1

Według komentarza 0xC0000022L stwierdzam, że „sudo -u użytkownik” działa tak samo jak „sudo chpst -u użytkownik -U użytkownik”:

LANG="en_US.UTF-8"; export LANG
GDM_LANG="en_US.UTF-8"; export GDM_LANG
DISPLAY=:0; export DISPLAY
sudo -u user /home/user/unprivileged.sh &

Będę studiować sudoers i zaktualizować, czy / kiedy dostanę sudo sam do pracy.

Używam runit „s chpstnarzędzie do zadań takich jak ten. Na przykład z poziomu skryptu wywołaj swój nieuprzywilejowany skrypt:

chpst -u nobody /path/to/script

Obejmując tylko runit i sudo bardzo brakuje. W rzeczywistości istnieje cała rodzina zestawów narzędzi, takich jak runit, i szeroki wybór narzędzi do robienia dokładnie tego, właśnie tego zadania, do którego zostały zaprojektowane:

• Daemontools Daniela J. Bernsteina ma setuidgid:

  użytkownik setuidgid /home/user/unprivileged.sh

• Freedt Adama Sampsona ma setuidgid:

  użytkownik setuidgid /home/user/unprivileged.sh

• Daemontools-encore Bruce'a Guentera ma setuidgid:

  użytkownik setuidgid /home/user/unprivileged.sh

• Runit Gerrit Pape ma chpst:

  chpst -u użytkownik /home/user/unprivileged.sh

• Sprawca Wayne'a Marshalla ma runuid:

  użytkownik runuid /home/user/unprivileged.sh

• Laurent Bercot s6 ma s6-setuidgid:

  użytkownik s6-setuidgid /home/user/unprivileged.sh

• mój nosh ma setuidgid:

  użytkownik setuidgid /home/user/unprivileged.sh

Nie łączą różnych zadań związanych z dodawaniem uprawnień i nigdy nie wchodzą w tryb interaktywny.

Nawiasem mówiąc, twoje problemy z załatwieniem to niewiele więcej niż zapomnienie o tym, sbinjak je mieć .binPATH

Dalsza lektura

• Jonathan de Boyne Pollard (2014). Nie nadużywaj su za upuszczanie uprawnień użytkownika . Często udzielane odpowiedzi.

skrypt, który upuszcza uprawnienia i uruchamia inny skrypt (ale tutaj właśnie go uruchomiłem):

#!/bin/sh

id=`id -u`
safeuser="nobody"

if [ $id = "0" ]
then
         # we're root. dangerous!
        sudo -u $safeuser $0
else
    echo "I'm not root"
    id
fi

Przykład:

root@n3:/tmp/x# id
uid=0(root) gid=0(root) группы=0(root)
root@n3:/tmp/x# ./drop.sh
I'm not root
uid=65534(nobody) gid=65534(nogroup) группы=65534(nogroup)

Co powiesz na:

sudo -Eu <user> <command>

Skarżyłeś się na środowisko w poprzednim komentarzu, więc możesz również porównać różnice między wyjściami:

sudo -u <user> printenv
sudo -Eu <user> printenv

W systemie Linux możesz użyć runuserlub setprivjeśli sesja PAM nie jest wymagana (oba z util-linux):

runuser -u USER [--] COMMAND [ARGUMENTS...]

setpriv --reuid=1000 --regid=1000 --init-groups COMMAND [ARGUMENTS...]  # Like su/runuser/sudo
setpriv --reuid=1000 --regid=1000 --clear-groups COMMAND [ARGUMENTS...]  # Like daemontools setuid(8)

Ze strony podręcznika su:

su jest głównie zaprojektowany dla nieuprzywilejowanych użytkowników, zalecanym rozwiązaniem dla uprzywilejowanych użytkowników (np. skrypty wykonywane przez roota) jest użycie runuser komend (1) , który nie wymaga uwierzytelnienia i nie wymaga uwierzytelnienia i zapewnia osobną konfigurację PAM. Jeśli sesja PAM wcale nie jest wymagana, zalecanym rozwiązaniem jest użycie polecenia setpriv (1) .