mod_become

mod_become Modul ermöglicht den Web-Server, um von den Zugriffsrechten eines Benutzers & Gruppe zu nehmen, so dass ~ Benutzer verfügbaren Dateien auf dem Web, ohne dass sie auf dem lokalen Dateisystem lesbar von der Welt zu machen zu machen. Dies kann nützlich für Websites mit einer großen Anzahl von Benutzern, die Dateizugriffskontrolle einander gewähren möchten. Dieses Modul kann auch auf virtuellen Hosts, Verzeichnisse und Standorten eingesetzt werden.
Wenn der Server mit "User root" (siehe Security) konfiguriert ist, dann wird dieses Modul zu verhalten, als ob die Richtlinie "MaxRequestsPerChild 1" wurden für den Server und "Keepalive off" wurden für den Server und jedem virtuellen Host festgelegt, wo ein mod_become Richtlinie angezeigt wird, die im Wesentlichen begrenzt den Server und diese virtuellen Hosts auf HTTP / 1.0 Verhalten.
Daher ist für jeden Wunsch wird dieses Modul setuid () und setgid () das Verfahren der Handhabung der Anfrage auf der Grundlage einer von der Politik im Folgenden erläutert. Sobald die Anforderung abgeschlossen ist, wird der Prozess beendet. Die übergeordneten Server wird zum Laichen ein neues Kind-Prozess, um zukünftige Anforderungen zu verarbeiten verantwortlich.
Die Quelle kann kompiliert werden, um seteuid () und setegid () anstelle von setuid () und setgid () (siehe den oberen Teil des Makefile) zu verwenden, aber nicht der Standard. Die Nutzung seteuid () und setegid () kann preformance durch die Vermeidung der Notwendigkeit, die Apache Kind-Prozess zwischen den Anforderungen töten zu verbessern, aber es erhebliche Sicherheitsprobleme haben. Zum Beispiel Module wie mod_php oder mod_perl, die APIs zu seteuid () und setegid () bereitzustellen, verwendet werden, um Root-Benutzer wieder zu werden und tun, was immer sie wollen.
Im wesentlichen kann jedes Modul, das Teil des Apache Prozesses Raum könnte zurückkehren, um Benutzer root, wenn sie von seteuid () und setegid machen (). Es wird empfohlen, innerhalb von mod_php, mod_perl und anderen Sprachmodule, die diese APIs deaktiviert zu sein. CGIs, die als separater Prozess von Apache gestartet werden sollte, in der Theorie, in Sicherheit, da die effektive Benutzer- und Gruppen-ID werden die reale Benutzer und Gruppen-ID des untergeordneten Prozess und können daher nicht wieder auf root zurückgesetzt (wenn ich die Dinge richtig zu verstehen) .
Konfiguration
Die Befehle können unter der allgemeinen Apache-Konfigurationsdatei, httpd.conf hinzugefügt werden.
Benutzer-ID
Context: global,
Dies ist nicht Teil des mod_become, aber wird zum Aktivieren oder Verhalten mod_become deaktivieren, da mod_become kann nur funktionieren, wenn "User root" für den Hauptserver-Konfiguration angegeben. Sie müssen Apache mit -DBIG_SECURITY_HOLE, um dies zu tun zu kompilieren.
Werden User-ID
Werden Sie Gruppen-ID
Kontext: Server, , ,
Geben Sie den Benutzer oder die Gruppe, die standardmäßig verwendet werden. Wenn die BecomePolicy ist benutzer Gruppe, dann werden diese immer verwendet werden. Wenn der Hauptserver-Konfiguration fehlschlägt, um die Standard-Benutzergruppe und dann einen Fehler 503 Service Unavailable und eine Fehlerprotokolleintrag kann auftreten, setzen sollten diese Werte erforderlich.
BecomePolicy Politik
Context: global, , ,
Geben Sie die Politik verwendet, um die Benutzer und Gruppen-IDs der untergeordneten Prozess eingestellt:
Datei
Der Benutzer & Gruppen der angeforderten Datei verwendet. Nicht zu empfehlen.
Benutzer-Gruppe
Die angegebene Standardbenutzer & Gruppe verwendet. Das ist ähnlich wie im Verhalten an den Apache Kern Richtlinien von Benutzern und Gruppen. Dies ist die Standardrichtlinie.
Dokument-Root-
Der Benutzer und Gruppe von virtuellen Hosts Document-Root des Servers oder verwendet wird.
Eltern-Verzeichnis
Der Benutzer und Gruppe von übergeordneten Verzeichnis der Anforderung verwendet wird. Wenn die Anforderung entspricht einem Verzeichnis, dann wird es statt ihrer Mutter verwendet wird.
BecomeRoot boolean
Context: global, , ,
Wenn true, wird mod_become ermöglichen das Verfahren als Root-Benutzer oder eine Gruppe zu betreiben; ansonsten wird ein 403 Forbidden Fehler und eine Fehlerprotokolleintrag wird auftreten, wenn der Prozess versucht, Root-Benutzer oder eine Gruppe zu werden. Standardmäßig ist dieser Wert false hat

Anforderungen .

• Apache 1.3.x