mod_become

โมดูล mod_become ช่วยให้เว็บเซิร์ฟเวอร์ที่จะใช้ในการเข้าถึงสิทธิของผู้ใช้และกลุ่มเพื่อให้ผู้ใช้สามารถ ~ ทำให้ไฟล์ที่มีอยู่ไปยังเว็บโดยไม่ต้องทำให้พวกเขาสามารถอ่านได้โดยโลกบนระบบไฟล์ นี้จะมีประโยชน์สำหรับเว็บไซต์ที่มีจำนวนมากของผู้ใช้ที่ต้องการที่จะใช้การควบคุมการเข้าถึงไฟล์ในตัวเอง โมดูลนี้ยังสามารถนำไปใช้โฮสต์เสมือนไดเรกทอรีและสถานที่
เมื่อเซิร์ฟเวอร์มีการกำหนดค่าด้วย "รากผู้ใช้" (ดูการรักษาความปลอดภัย) จากนั้นโมดูลนี้จะทำงานเป็น แต่คำสั่ง "MaxRequestsPerChild 1" ได้รับการตั้งค่าสำหรับเซิร์ฟเวอร์และ "KeepAlive ปิด" ได้รับการตั้งค่าสำหรับเซิร์ฟเวอร์และทุกพื้นที่เสมือนที่ mod_become คำสั่งที่ปรากฏซึ่งเป็นหลัก จำกัด เซิร์ฟเวอร์และผู้ที่โฮสต์เสมือน HTTP / 1.0 พฤติกรรม
ดังนั้นสำหรับการร้องขอแต่ละโมดูลนี้จะ setuid () และ setgid () กระบวนการจัดการคำขอขึ้นอยู่กับหนึ่งในนโยบายที่ระบุไว้ด้านล่าง เมื่อร้องขอเสร็จสิ้นกระบวนการจะยุติ เซิร์ฟเวอร์ผู้ปกครองจะต้องรับผิดชอบต่อการวางไข่กระบวนการเด็กใหม่ในการจัดการการร้องขอใด ๆ ในอนาคต
แหล่งที่สามารถรวบรวมการใช้ seteuid () และ setegid () แทน setuid () และ setgid () (ดูด้านบนของ Makefile) แต่ไม่ได้เริ่มต้น ใช้ seteuid () และ setegid () สามารถปรับปรุง preformance โดยการหลีกเลี่ยงความจำเป็นที่จะฆ่ากระบวนการเด็ก Apache ระหว่างการร้องขอ แต่มันก็ไม่ได้มีปัญหาด้านความปลอดภัยที่สำคัญ สำหรับโมดูลตัวอย่างเช่น mod_php หรือ mod_perl ที่ให้ APIs เพื่อ seteuid () และ setegid () สามารถนำมาใช้จะกลายเป็นผู้ใช้ root อีกครั้งและทำในสิ่งที่พวกเขาต้องการที่เคย
โมดูลหลักใด ๆ ที่เป็นส่วนหนึ่งของพื้นที่กระบวนการ Apache สามารถกลับไปใช้รากถ้าพวกเขาใช้ประโยชน์จาก seteuid () และ setegid () ขอแนะนำว่าภายใน mod_php, mod_perl และโมดูลภาษาอื่น ๆ ที่ APIs เหล่านี้ถูกปิดใช้งาน CGIs ที่มีการเปิดตัวเป็นกระบวนการแยกโดย Apache ควรในทางทฤษฎีจะปลอดภัยเนื่องจากผู้ใช้ที่มีประสิทธิภาพและ ID กลุ่มกลายเป็นผู้ใช้จริงและ ID กลุ่มของกระบวนการเด็กและดังนั้นจึงไม่สามารถกลับไปยังราก (ถ้าผมเข้าใจสิ่งที่ถูกต้อง) .
องค์ประกอบ
คำสั่งดังต่อไปนี้สามารถเพิ่มแฟ้มการกำหนดค่า Apache ทั่วไป httpd.conf
รหัสผู้ใช้
บริบท: ทั่วโลก
นี้ไม่ได้เป็นส่วนหนึ่งของ mod_become แต่จะใช้ในการเปิดหรือปิดการใช้งานของพฤติกรรม mod_become ตั้งแต่ mod_become สามารถฟังก์ชั่นเฉพาะเมื่อ "รากผู้ใช้" ที่ระบุไว้สำหรับการกำหนดค่าเซิร์ฟเวอร์หลัก คุณต้องรวบรวม Apache กับ -DBIG_SECURITY_HOLE เพื่อที่จะทำเช่นนี้
รหัสผู้ใช้เป็น
เป็นกลุ่ม id
บริบท: เซิร์ฟเวอร์ <ไดเรกทอรี> <สถานที่>
ระบุผู้ใช้หรือกลุ่มที่จะใช้เป็นค่าเริ่มต้น เมื่อ BecomePolicy นั้นใช้กลุ่มแล้วเหล่านี้มักจะถูกนำมาใช้ หากการตั้งค่าเซิร์ฟเวอร์หลักล้มเหลวในการตั้งค่าผู้ใช้เริ่มต้นและกลุ่มบริการแล้ว 503 ข้อผิดพลาดไม่พร้อมใช้งานและรายการบันทึกข้อผิดพลาดที่อาจเกิดขึ้นควรค่าเหล่านี้จะต้อง
นโยบาย BecomePolicy
บริบท: ทั่วโลก <ไดเรกทอรี> <สถานที่>
ระบุนโยบายที่ใช้ในการตั้งค่าของผู้ใช้และรหัสกลุ่มกระบวนการเด็ก:
ไฟล์
ผู้ใช้และกลุ่มของแฟ้มที่ร้องขอที่มีการใช้ ไม่แนะนำ
ใช้กลุ่ม
ผู้ใช้และกลุ่มเริ่มต้นที่ระบุไว้ถูกนำมาใช้ นี้จะคล้ายพฤติกรรมการสั่ง Apache หลักของผู้ใช้และกลุ่ม นี้เป็นนโยบายเริ่มต้น
เอกสารราก
ผู้ใช้และกลุ่มของเซิร์ฟเวอร์เสมือนหรือรากเอกสารของโฮสต์จะใช้
พ่อแม่และไดเรกทอรี
ผู้ใช้และกลุ่มของไดเรกทอรีแม่คำขอของที่ใช้ เมื่อมีการร้องขอสอดคล้องกับไดเรกทอรีแล้วมันจะนำมาใช้แทนผู้ปกครอง
BecomeRoot บูล
บริบท: ทั่วโลก <ไดเรกทอรี> <สถานที่>
เมื่อความจริง mod_become จะช่วยให้กระบวนการในการดำเนินงานในฐานะผู้ใช้รากหรือกลุ่ม; อย่างอื่น 403 ข้อผิดพลาดต้องห้ามและรายการบันทึกข้อผิดพลาดที่จะเกิดขึ้นถ้ากระบวนการพยายามที่จะกลายเป็นผู้ใช้รากหรือกลุ่ม โดยค่าเริ่มต้นนี้ถูกตั้งค่าเป็นเท็จ

ต้องการ .

• Apache 1.3.x