AIX非root用户80端口运行Apache

╰+攻爆jí腚メ 2023-10-08 11:18 9阅读 0赞

**在端口****80****上的非****root****用户下在****AIX****中运行****Apache**

*UrbanBiel**|* *2012**年**8**月**9**日**|* *游览（**21507**）*

![2020010117351254.png][]最近，有人问我，如果Apache以非特权（非root）帐户运行，是否可以绑定到端口80。当然，任何过程都可以使用RBAC。

**HTTP****服务器**

Apache HTTP Server在其配置文件中有一个指令，该进程应在该指令下运行用户帐户。但是，如果希望它在默认端口TCP / 80上侦听，则父进程必须在root用户下运行。Apache以root身份打开端口80，然后派生子进程，这些子进程根据httpd.conf删除其有效的uid和gid。有一些缺点：

*  有些人只是觉得不够安全
 *  它还要求Apache必须由root用户控制

一种解决方案是在非特权端口（例如8080）上运行它并使用端口转发，或者使用负载平衡器/代理服务器。专业人员使用RBAC。

首先，我们将Apache配置为在用户www下运行

aix71@/\# mkgroup id=10000 www

aix71@/\# mkuser id=10000 home=/var/www shell=/bin/ksh login=false pgrp=www groups=www www

aix71@/\# mkdir -p /var/www

aix71@/\# chown www.www /var/www

aix71@/\# grep -E "^User|^Group" /etc/opt/freeware/apache/httpd.conf

User www

Group www

aix71@/\# grep "^Listen" /etc/opt/freeware/apache/httpd.conf

Listen 80

一些勿忘的：

*  更改启动脚本，以便Apache在用户www下启动
 *  将所有者和权限更改为DocumentRoot，日志文件，httpd.conf文件，pid目录等。请对其进行三次检查。尤其要确保错误日志文件可由用户www写入。
 *  验证Apache是否在root用户下运行。停止它（自由端口80）。

这就是关于Apache配置的全部内容。

**RBAC**

基于角色的访问控制使您可以比传统的root / nonroot方法更好地控制用户对系统资源的访问。使用RBAC，您可以指定某个非root用户可以对通常需要root访问权限的对象执行任务。例如，使用LVM，创建备份或打开小于1024的TCP端口。让我们为方案配置RBAC。

1.  一点点RBAC黑客攻击。我们需要知道，httpd程序需要绑定到端口80哪些特权。您已验证，您的Apache将成功以root用户身份启动和运行，对吗？以root用户运行tracepriv命令：

aix71:/\# tracepriv -f /opt/freeware/apache/sbin/httpd

12255428: Used privileges for /opt/freeware/apache/sbin/httpd:

PV\_DAC\_W PV\_NET\_CNTL

PV\_NET\_PORT

要获取基于[AIX 7.1信息中心][AIX 7.1]或更高版本的特权描述，请下载[PDF][]。IT直觉表明我们需要PV\_NET\_PORT特权。

1.  使用aix71@/\# mkdom命令创建域。

mkdom "id=1" dfltmsg="TCP Port 80" apache\_80

我们刚刚创建了一个名称为apache\_80，ID = 1的域以及您的自定义标识字符串。使用lsdom ALL列出系统中的所有定义的域。

1.  设置域对象的安全属性。我们希望将TCP端口80设置为可被属于我们域的进程访问。

aix71@/\# setsecattr -o domains=apache\_80 \\

objtype=netport secflags=FSF\_DOM\_ANY TCP\_80

1.  设置域对象的访问属性。我们希望将Apache二进制文件设置为在命令运行时对其网络端口及其子进程具有特权。

aix71@/\# setsecattr -c accessauths=ALLOW\_ALL \\

innateprivs=PV\_NET\_PORT inheritprivs=PV\_NET\_PORT \\

secflags=FSF\_EPS /opt/freeware/apache/sbin/httpd

1.  设置用户www属于域apache\_80

aix71@/\# chuser "domains=apache\_80" www

1.  而且总是总是，在更改域设置中的任何内容后，运行setkst命令来设置内核安全性表。

现在怎么办。啊，可以，运行apachectl命令来启动Apache。检查并确保所有apache进程都在www用户下运行。不行吗 嗯

**故障排除**

如果遵循了所有步骤，并且您正在运行AIX 7.1（我的测试系统），那么很难相信它不会起作用。很可能与Apache配置有关。

*  您的Apache首先是否在root用户下运行？
 *  检查用户www是否有权访问所有必需的目录：配置目录，DocumentRoot目录，日志文件...。
 *  80端口免费吗？
 *  Apache是否在用户www上的非特权端口（例如8080）上运行？如果是，则可能是RBAC问题。

感谢Viktor Vojtanik的审查和反馈以及独立测试。

[2020010117351254.png]: https://img-blog.csdnimg.cn/2020010117351254.png
[AIX 7.1]: http://pic.dhe.ibm.com/infocenter/aix/v7r1/index.jsp?topic=%2Fcom.ibm.aix.security%2Fdoc%2Fsecurity%2Frbac_aix_privs.htm
[PDF]: http://pic.dhe.ibm.com/infocenter/aix/v7r1/topic/com.ibm.aix.security/doc/security/security_pdf.pdf