1

Есть VPS с centos 7 с root доступом. Необходимо время от времени из php скрипта выполнять там команду:

systemctl reload named.service

Результат выполнения команды exec('whoami'):

apache

Исходя из этого команда

exec('systemctl reload named.service', $arr);

не сработает? Может есть решение?

Может можно дать юзеру apache рут права? Как это сделать? И в плане безопасности, это безопасно?

На крайний случай может накидаете bash скрипт и подскажете как его запустить из php.

0

1 ответ 1

4

Создаем bash скрипт под рутом, скажем он будет /usr/local/bin/namereload.sh:

#!/bin/sh
systemctl reload named.service

Внимание: лучше указать в скрипте полный путь к systemctl, т.к. скорее всего он лежит где нибудь в /sbin или /usr/sbin, а этих путей может не быть в PATH во время выполнения php скрипта. Сам скрипт обязательно должен быть создан рутом и в каталоге доступном на запись только руту (и на чтение всем), что бы его содержимое не мог поменять непривилегированный пользователь.

Делаем скрипт выполнимым chmod a+x /usr/local/bin/namereload.sh

В /etc/sudoers добавляем строку:

apache ALL=(ALL) NOPASSWD: /usr/local/bin/namereload.sh

В php скрипте пишем:

exec('sudo /usr/local/bin/namereload.sh');

В таком варианте все абсолютно безопасно. Единственная команда, которую может выполнить под рутом пользователь apache это перезапуск named.

8
  • Спасибо, наверное так и сделаю. Ещё хотел спросить, а что если в файле /etc/php-fpm.d/www.conf изменить user = apache group = apache
    – sashaeee
    27 мар 2016 в 16:13
  • @sashaeee Изменить на что, он же у вас и так уже apache
    – Mike
    27 мар 2016 в 16:15
  • Спасибо, наверное так и сделаю. Ещё хотел спросить, а что если в файле /etc/php-fpm.d/www.conf изменить user = apache group = apache на user = root group = root, так по идее php из под рута будет работать и в функции exec() можно будет выполнять любые команды? В плане безопасности это безопасно будет? (учитывая что на VPS не будет накиких других пользователей, кроме меня)
    – sashaeee
    27 мар 2016 в 16:19
  • 1
    @sashaeee давать рута php скриптам не стоит. В каком нибудь из скриптов вполне может быть какая либо ошибка, например позволяющая получить произвольный файл. Если скрипт будет под рутом то он сможет получить файл паролей. Так же, если папки где лежат скрипты не доступны на запись пользователю апач, то внедрить какой либо код через ошибки в скриптах крайне проблематично. А под рутом можно сходу через веб внедрятся в любую часть системы
    – Mike
    27 мар 2016 в 16:22
  • К сожалению так и не получилось мне запустить мой скрипт( Я создал файл /home/bash/namedreload.sh, сделал скрипт выполнимым, в конец файла etc/sudoers добавил apache ALL=(ALL) NOPASSWD: /home/bash/namedreload.sh но в скрипте exec('sudo /home/bash/namedreload.sh'); не работает( При это если через putty войти на сервер под рутом и выполнить в командной строке sudo /home/bash/namedreload.sh все работает (я для проверки писал туда #!/bin/sh cd /home mkdir 123). Может быть подскажете в чем может быть дело? VPS я перезагружал.
    – sashaeee
    27 мар 2016 в 18:50

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.