PHP 透過 Sudo 執行 root 指令

最新推荐文章于 2022-09-12 10:18:16 发布

原创最新推荐文章于 2022-09-12 10:18:16 发布 · 1.4k 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#php #apache #freebsd #debian #service #server

linux 同时被 3 个专栏收录

24 篇文章

订阅专栏

php

5 篇文章

订阅专栏

asterisk

2 篇文章

订阅专栏

本文介绍如何通过安装Sudo并在/etc/sudoers文件中配置特定权限，使PHP能够以root身份执行系统管理任务，如重启DNS服务。文章还提供了一个具体的例子，展示如何配置asterisk用户执行多种命令。

一直以來要用 PHP 以 root 身份執行系統管理工作的問題，就是 PHP 會以 apache 的身份執行，解決方法有安裝 suPHP 或 super 這類工具，但個人認為還是 Sudo 較為安全。首先要安裝 Sudo，據我所知 RHEL, Ubuntu 已經內置，Debian 只要用 apt-get 安裝就可以，以下是 FreeBSD 的安裝方法:BSD爱好者乐园c} u0b ~fD{-~*NS

sK9| OFkFreeBSD 安裝 SudoBSD爱好者乐园,yaT gN i
# cd /usr/ports/security/sudoBSD爱好者乐园+J5T;i6|M0@8LA%w x
# make && make installBSD爱好者乐园| u/ J~%O/ah.y

_ B^:hTJ-W當系統有 Sudo 後，基於安全理由，不要直接編輯組態檔 /etc/sudoers，改用 visudo 來做編輯。visudo 為防止多個使用者同時修改，它會先鎖住 /etc/sudoers，並且確保組態檔的文法正確，一旦發現錯誤會拒絕儲存動作。
cxm c:v1j
$tYP,{ I YT假如你的 Apache 的執行身份為 apache，而想透過 PHP 重新啟動 DNS server，用 root 輸入指令 visudo，便會用 vi 開啟 /etc/sudoers，在檔案最底加上以下一行:
0N'{ y-sv.iTc+zBSD爱好者乐园3hzmk5_3yg'NS
apache ALL=NOPASSWD:/etc/rc.d/init.d/namedBSD爱好者乐园o]5cNJ A0bR7K:BkYY
BSD爱好者乐园6o5c4Fki[kH2N#`A
儲存後可以在 PHP 以 root 身份執行 /etc/rc.d/init.d/named，包括開啟、停止及重新啟動:
I-zg|3mi'SkBSD爱好者乐园 h|)v0^,V+C5U#]
PHP:
S7NTN1jj,wIQb8N<?phpBSD爱好者乐园mP9mm E3|#a(h
// 開啟 named
)b I UxM$output = shell_exec("/usr/bin/sudo /etc/rc.d/init.d/named start");
/hVT*[+J{ R decho $output;BSD爱好者乐园3EZ]q)X&}(ab q!d
?>BSD爱好者乐园^$|R j[
上面的 /usr/bin/sudo 是 sudo 的可執行檔，需要根據自己的安裝目錄進行修改。以上只是個簡單的例子，你可以根據你的需要執行其他管理動作，但如果 web server 是多人共用，那麼在使用 Sudo 時要加倍小心。

我的用法：

s1000 系统 asterisk 用户添加执行可执行的命令：

1》su asterisk

2》sudo -l (列举asterisk 用户可执行的命令)

3》su root

4》visudo 例如添加可执行 sh 命令可执行脚本 asterisk ALL = NOPASSWD: /bin/sh

具体语法格式： ## Allows members of the users group to shutdown this system
# %users localhost=/sbin/shutdown -h now

      asterisk ALL = NOPASSWD: /sbin/shutdown
      asterisk ALL = NOPASSWD: /usr/bin/nmap
      asterisk ALL = NOPASSWD: /usr/bin/yum
      asterisk ALL = NOPASSWD: /bin/touch
      asterisk ALL = NOPASSWD: /bin/chmod
      asterisk ALL = NOPASSWD: /bin/chown
      asterisk ALL = NOPASSWD: /sbin/service
      asterisk ALL = NOPASSWD: /sbin/init
      asterisk ALL = NOPASSWD: /sbin/route
      asterisk ALL = NOPASSWD: /bin/hostname
      asterisk ALL = NOPASSWD: /usr/sbin/postmap
      asterisk ALL = NOPASSWD: /usr/sbin/postfix
      asterisk ALL = NOPASSWD: /usr/sbin/saslpasswd2
      asterisk ALL = NOPASSWD: /bin/date
      uucp     ALL = NOPASSWD: /bin/chmod
      asterisk ALL = NOPASSWD: /usr/sbin/genzaptelconf
      asterisk ALL = NOPASSWD: /sbin/chkconfig
      asterisk ALL = NOPASSWD: /bin/mount
      asterisk ALL = NOPASSWD: /bin/umount
      asterisk ALL = NOPASSWD: /bin/cp
      asterisk ALL = NOPASSWD: /bin/sh
      asterisk ALL = NOPASSWD: /bin/rm

asterisk之中使用： exec("sudo -u root chmod 757 $this->dirHylafaxConf");
exec("sudo -u root chmod 646 $archivoHylafax");

            exec("sudo -u root service iaxmodem restart");
            exec("sudo -u root service hylafax restart");
             exec("sudo -u root init q");

exec("sudo -u root saslpasswd2 -d $username@".SASL_DOMAIN);