[sisyphus] chroot
Dmitry E. Oboukhov
=?iso-8859-1?q?node_=CE=C1_avanto=2Empei=2Eac=2Eru?=
Вт Окт 1 12:57:47 MSD 2002
>
>
>>root 779 0.0 0.2 1572 708 ? S Sep22 1:09 /sbin/syslog-ng
>>
>>
>
>Не знаю, почему люди ставят syslog-ng.
>syslogd работает под псевдопользователем (и в readonly
>chroot jail, если сконфигурирован).
>
стоит с момента инсталла мастера - поставил, дальше не задумывался
что там стоит? сейчас гляну на syslogd, если он лучше может сделать,
чтобы он ставился в дистрибутиве по умолчанию, а syslog-ng - только
дополнительно?
>>klogd 796 0.0 0.4 1948 1152 ? S Sep22 0:04 /sbin/klogd -c 1 -2 -u klogd -j /var/lib/klogd
>>
>>
>
>Работает под псевдопользователем в readonly chroot jail.
>
прекрасно
>>atdaemon 815 0.0 0.2 1300 532 ? S Sep22 0:00 /usr/sbin/atd
>>
>>
>
>Работает с эффективными правами псевдопользователя (все равно нужен
>как минимум CAP_SETUID в некоторые моменты работы).
>
то, что ему нужен setuid в некоторые моменты это понятно,
но вот почему бы работу крона так же не организовать, ведь
по сути at и cron - одно и тоже ;)
>>root 832 0.0 0.2 1480 644 ? S Sep22 0:00 crond
>>
>>
>
>Нужен как минимум CAP_SETUID.
>
см. выше
>>root 849 0.0 0.3 2076 892 ? S Sep22 0:10 /usr/sbin/xinetd -reuse -remlock
>>
>>
>
>Нужен как минимум CAP_SETUID+CAP_NET_BIND_SERVICE.
>
>
тут насколько я понимаю от рута крайне тяжело избавиться -
будет либо резкое снижение функциональности, либо обширное
расширение прав какой-то группы...
>>root 866 0.0 0.4 2504 1260 ? S Sep22 0:07 /usr/sbin/sshd
>>root 3414 0.0 0.6 5840 1776 ? S 12:19 0:00 \_/usr/sbin/sshd
>>
>>
>
>Нужен root для авторизации пользователей.
>
проясните пожалуйста
допустим я имею логин и пассворд пользователя (мб рута)
char *login="vasya";
char *passwd="pupkin";
разве этого недостаточно чтобы сделать программный su?
>>root 1309 0.0 0.4 3328 1168 ? S Sep22 0:05 /usr/lib/postfix/master
>>
>>
>
>Это управляющий сервер postfix'а; вся основная работа ведется в
>компонентах.
>
>
>
>>postfix 1324 0.0 0.5 3492 1308 ? S Sep22 0:36 \_ qmgr -l -t fifo -u -c
>>postfix 3352 0.0 0.4 3508 1200 ? S 12:10 0:00 \_ pickup -l -t fifo -u -c
>>postfix 3370 0.0 0.4 3520 1216 ? S 12:15 0:00 \_ trivial-rewrite -n rewrite -t unix -u -c
>>postfix 3399 0.0 0.5 3752 1424 ? S 12:18 0:00 \_ smtpd -n smtp -t inet -u -c -s 3
>>postfix 3400 0.0 0.5 3576 1288 ? S 12:18 0:00 \_ cleanup -t unix -u -c
>>postfix 3401 0.0 0.5 4784 1436 ? S 12:18 0:00 \_ local -t unix
>>postfix 3403 0.0 0.4 3512 1212 ? S 12:18 0:00 \_ flush -t unix -u -c
>>
>>
>
>Компоненты postfix'а; все работают с правами псевдопользователя postfix,
>большинство - в специальном chroot jail.
>
>
>
>>root 1346 0.0 0.4 3756 1108 ? S Sep22 0:00 squid -D
>>squid 1348 0.0 18.5 49112 47584 ? R Sep22 12:21 \_ (squid) -D
>>squid 1365 0.0 0.1 1228 268 ? S Sep22 0:01 \_ (unlinkd)
>>
>>
>
>Управляющий сервер - root;
>все остальные - псевдопользователи.
>В принципе, и управляющий сервер можно сконфигурировать работать с правами
>псевдопользователя в chroot jail; при этом будет потеряна часть
>функциональности.
>В принципе, тут есть над чем поработать.
>
что в функциональности прокси может быть потеряно ?
>>root 1366 0.0 0.7 4640 1956 ? S Sep22 0:00 smbd -D
>>nobody 6540 0.9 1.1 5204 2892 ? S Sep27 57:01 \_ smbd -D
>>root 28447 0.0 1.0 5148 2672 ? S Sep30 0:07 \_ smbd -D
>>root 3116 0.0 0.9 5108 2388 ? S 11:19 0:00 \_ smbd -D
>>root 3223 0.0 0.9 5112 2488 ? S 11:42 0:00 \_ smbd -D
>>root 1373 0.0 0.6 3592 1708 ? S Sep22 0:03 nmbd -D
>>
>>
>
>Самба авторизует пользователей.
>
см выше вопрос про ССШ
>
>
>
>>root 1393 0.0 0.1 1232 416 tty1 S Sep22 0:00 /sbin/mingetty tty1
>>root 1394 0.0 0.1 1232 416 tty2 S Sep22 0:00 /sbin/mingetty tty2
>>root 1395 0.0 0.1 1232 416 tty3 S Sep22 0:00 /sbin/mingetty tty3
>>
>>
>
>Нужен CAP_SYS_TTY_CONFIG для vhangup() на терминал.
>
права доступа ?
>
>
>
>>root 1882 0.0 0.5 4212 1504 ? S Sep22 0:00 httpd
>>apache 17381 0.0 0.6 4432 1732 ? S Sep29 0:00 \_ httpd
>>apache 17382 0.0 0.6 4432 1764 ? S Sep29 0:00 \_ httpd
>>apache 17383 0.0 0.6 4440 1748 ? S Sep29 0:00 \_ httpd
>>apache 17384 0.0 0.6 4444 1764 ? S Sep29 0:00 \_ httpd
>>apache 17444 0.0 0.6 4444 1760 ? S Sep29 0:00 \_ httpd
>>apache 17445 0.0 0.7 4456 1804 ? S Sep29 0:00 \_ httpd
>>apache 17895 0.0 0.6 4432 1736 ? S Sep29 0:00 \_ httpd
>>apache 17896 0.0 0.6 4444 1776 ? S Sep29 0:00 \_ httpd
>>apache 17917 0.0 0.6 4444 1784 ? S Sep29 0:00 \_ httpd
>>apache 20655 0.0 0.6 4432 1732 ? S Sep29 0:00 \_ httpd
>>
>>
>
>Управляющий сервер - root;
>все остальные - псевдопользователи.
>В принципе, и управляющий сервер можно сконфигурировать работать с правами
>псевдопользователя; при этом будет потеряна часть функциональности.
>
>
>
опять же какая часть ?
сервер он вроде "сам по себе сервер" зачем ему рут ?
только для того, чтобы сокеты открывать ?
Подробная информация о списке рассылки Sisyphus