Esegui script Python come root (seteuid vs c-wrapper)

Question

Ho un compito rapido in uno script python che mi piacerebbe chiamare da Django (utente www), che avrà bisogno di privilegi di root.

All'inizio pensavo che avrei potuto utilizzare il file os.seteuid() di Python e impostare il bit setuid sullo script, ma poi mi sono reso conto che avrei dovuto impostare il bit setuid su Python stesso, che presumo sia grande no no. Da quello che posso dire, questo sarebbe anche il caso se si utilizza sudo, che vorrei davvero evitare.

A questo punto, sto considerando di scrivere solo un wrapper C che usi seteuid e chiama il mio script python come root, passando gli argomenti necessari ad esso.

È questa la cosa giusta da fare o dovrei guardare qualcos'altro?

Answer 1

sudo non richiede bit setuid su Python. È possibile abilitare sudo per un comando solo, senza argomenti:

www   ALL=(ALL)  NOPASSWD: /root/bin/reload-stuff.py "" 

Questo sarebbe sicuro se lo script non prende alcun argomento, non possono essere sovrascritte dall'utente www, e sudo significa "env_reset" (l'impostazione predefinita in più distro).

È possibile accettare gli argomenti, ma fare molta attenzione con essi - non prendere i nomi dei file di output, assicurarsi di verificare tutti gli input. In questo caso, rimuovere "" dalla fine della linea sudo.

Answer 2

sudo consente di limitare gli argomenti passati al programma. Da man sudoers:

john   ALPHA = /usr/bin/su [!-]*, !/usr/bin/su *root* 

On the ALPHA machines, user john may su to anyone except root but 
he is not allowed to specify any options to the su(1) command. 

Quindi usare sudo. Ovviamente è necessario prestare la massima attenzione con l'accesso root: assicurarsi che solo root possa modificare lo script stesso e le eventuali directory madri e che lo script sia sicuro e che esegua il minimo assoluto che deve essere eseguito come root.

Answer 3

La cosa corretta è chiamata separazione dei privilegi: identificare chiaramente un insieme minimo di attività che devono essere eseguite su privilegi elevati. Scrivi un demone separato e un modo il più possibile limitato di comunicare l'attività da eseguire. Esegui questo daemon come un altro utente con privilegi elevati. Un po 'più di lavoro, ma anche più sicuro.

EDIT: l'utilizzo di un wrapper setuid-in grado di soddisfare anche il concetto di separazione dei privilegi, sebbene raccomando di avere il server Web sotto chroot e di montare il file system chrootato nosuid (che lo sconfiggerebbe).