Início / server / Perguntas / 712947
Accepted
anx
Asked: 2015-08-10 10:49:54 +0800 CST

Como conseguir a separação de privilégios entre vários serviços (por exemplo, uwsgi) com proxy por nginx?

  • 772

Um site que mantenho é composto de vários aplicativos locais, todos com proxy da mesma instância nginx . Cada aplicativo está sendo executado sob seu próprio usuário e expondo um soquete unix gravável pelo grupo de servidores da web www-data.

Todos os usuários do aplicativo fazem parte do www-datagrupo, portanto podem chown seus soquetes. Como posso melhorar minha configuração, de modo que uma vulnerabilidade em um aplicativo não possa mais ser usada para tentar escalar privilégios por meio de conexões diretas com outros soquetes?

Minha solução anterior: crie um novo grupo para cada usuário e adicione o servidor da web a todos eles. Esta solução é menos preferível, pois complica a adição/remoção de aplicativos e requer uma reinicialização forçada do servidor da web para atualizar os grupos.

nginx

1 respostas

  1. Best Answer

    Semelhante a como os serviços podem herdar portas privilegiadas do systemd , eles podem receber acesso a soquetes locais que, de outra forma, não teriam permissão para abrir. O Systemd cria o soquete unix e passa apenas a descrição do arquivo para o serviço - dessa forma, o serviço não precisa de permissões de acesso no arquivo do soquete.

    Configure o soquete usando /etc/systemd/system/example.socketassim: (ler man systemd.socket)

    [Unit]
PartOf=example.service
[Socket]
SocketUser=www-data
SocketMode=0600
ListenStream=%t/example.sock

    E use esse soquete /etc/systemd/system/example.serviceassim: (ler man systemd.unit)

    [Unit]
Requires=example.socket
After=example.socket
[Service]
User=example
WorkingDirectory=~
ExecStart=/usr/bin/uwsgi --uwsgi-socket=fd://3 --opt2 --opt3 ..

    Observe que muitos programas, incluindo uwsgi, entendem LISTEN_FDSem seu ambiente, portanto, codificar o descritor de arquivo 3 geralmente é desnecessário.

    Aplique e inicie a unidade usando:

    systemctl dameon-reload
systemctl start example.service

    Se uma conta de serviço tentar abrir o soquete de outro serviço, ele não terá sucesso - os soquetes pertencem e podem ser lidos exclusivamente por www-data(ou seja, apenas o servidor da Web executado sob esse usuário pode acessá-los).

    • 1

relate perguntas