su i script

[petterg]

Hvor er settingen som hindrer su fra å bli kjørt i script?

Jeg får feilmeldingen "su: must be run from a terminal"

[sim]

Hva med sudo ?

[kyrsjo]

Jeg har greid å kjøre su i script - riktignok skript som da spør om passord...

[GNUfan]

sudo funker fint til scripts

[kyrsjo]

skal dette kjøres interaktivt eller ikke?

[petterg]

Skulle helst ha kjørt det fra apache/php, faktisk.

Det kan ikke være interaktivt.

Tenkte det som skulle bli kjørt var av php scriptet var:

echo passord | su brukernavn -c sudo script

 

Scriptet til slutt er noe som må kjøres som root. De er satt i sudoers at brukeren kan kjøre dette uten passord. Dermed lå bruker authentiseringa i at phpscriptet sender brukernavn og passord til su, og deretter kunne kjøre dette skriptet som root.

 

En annen løsning hadde vært om man kunne ha fått sudo til å spørre om passordet til en annen bruker, eller hatt muligheten til å nøste sudo kommandoer. Altså noe i retning av:

"echo brukerpassord | sudo -u brukernavn -U root script"

eller

"echo brukerpassord | sudo brukernavn sudo script" (hvor den første sudo'n er NOPASSWD og den siste er PASSWD.)

 

Ingen av disse har jeg fått til å fungere.

 

Edit:

Man kunne altså hatt et script som apache fikk lov å kjøre som root uten passord via sudo, men det krever en eller annen form for authentisering. Altså at scriptet mottar brukernavn og brukerpassord og sjekker om dette stemmer før det fortsetter. Hvordan gjør man eventuelt en slik authentisering?

Endret 10. mai 2004 av petterg

[xeon]

man sudoers

man sudo

Endret 10. mai 2004 av xeon

[petterg]

mens sudo sudo nøsting ikke virket viste det seg at jeg kunne ta sudo script, hvor scriptet gjør neste sudo, og jeg kom i mål.

Klønete, men virker.

[xeon]

skjønner ikke helt hvorfor du skal autentisere denne brukeren.. ingen andre får brukt apache med mindre de har passordet til den brukeren (eventuelt også disabla login) og dermed heller ikke brukt sudo

[petterg]

Skal bruke dette til å lage et webinterface hvor brukere (spesielt de som ikke har shell tilgang) skal kunne gjøre enkelte endringer på sin egen konto. Apache må kunne authentisere brukeren for å vise nåværende settinger på kontoen, og finne ut hvilke brukeren får lov å endre på. Når brukeren lagrer endringer sendes det til server med en ny authentiserings instruksjon som blir sjekket på nytt før endringene lagres.

Paranoid som jeg er, skal kun brukeren og gruppe administartoren som brukeren er medlem av kunne lese/endre dette. Andre brukere skal ikke ha tilgang. Heller ikke apache skal i utgangspunktet ha tilgang.

Dersom apache hadde hatt tilgang direkte ville det vært fritt fram for enhver bruker som har webområde med php støtte kunne lage seg script som kan lese ut brukerinfo. Om man ikke har den ekstra authentiseringa ved lagring ville også disse folka kunnet lagre endringer for andre brukere.

 

Apache login er forøvrig disablet. Noe annet ville vært som å sette annonse i avisa om at man drar på ferie.