用sudo提高脚本程序的权限
一,为什么要用sudo?
sudo可以提高脚本程序的权限,例如:我们曾经遇到过这种问题,
有一些文件需要通过web程序删除,但这些文件apache又没有权限访问,
所以删除不了,给用户使用程序带来不便
所以,这时需要借助于sudo来提高权限
备注:
1,apache为何没有权限?
我们先来看一下apache的用户是谁?
执行:ps auxfww
可以看到:
root 601 0.0 0.0 16092 80 ? S 2008 0:56 /usr/sbin/httpd
nobody 27493 0.0 0.2 19032 2468 ? S Feb08 0:14 \_ /usr/sbin/httpd
nobody 27494 0.0 0.4 18392 4472 ? S Feb08 0:13 \_ /usr/sbin/httpd
nobody 27495 0.0 0.3 18364 3252 ? S Feb08 0:19 \_ /usr/sbin/httpd
nobody 27496 0.0 0.3 23888 3216 ? S Feb08 0:09 \_ /usr/sbin/httpd
当前的apache的用户是nobody,
此设置是由apache的配置文件httpd.conf所设置的
接下来一个问题:我们何不把apache的用户设置root?
这样太不安全,因为使用sudo就意味着风险,我们把权限提得越高,出现错误的可能性就越大,也就越危险
2,apache和脚本是什么关系?
这个要看安装时的设置,因为现在一般是把php安装为apache的一个模块,
所以通过web访问php时,php的执行用户就是apache中所设置的用户
二,如何安装sudo?
一般情况下,sudo作为发行版的标准配置已经默认安装,
但也有未安装的情况,此时安装sudo这个rpm包即可
也可用yum进行安装
# yum install sudo
三,如何使用sudo?
我举一个例子:用来删除无权限访问的图片
分成三步:第一步:写一个bash脚本
第二步:让sudo允许使用bash脚本
第三步:在php程序中调用
1,先写bash脚本:
# vi /usr/sbin/delpic.sh
#!/bin/bash
rm -f $1.jpg
修改权限使可被执行
# chmod 755 /usr/sbin/delpic.sh
说明: delpic.sh中
$1是从命令行接收到的第一个参数
2,在修改sudo的配置文件/etc/sudoers之前,需要先使此配置文件可以被编辑
我们看一下它的属性设置
# ls -l /etc/sudoers
-r--r----- 1 root root 622 Aug 31 2007 /etc/sudoers
下面设置属性,使/etc/sudoers可以被编辑,当然,编辑完成后还需要把权限恢复为原样
# chmod 777 /etc/sudoers
可以编辑了:
# vi /etc/sudoers
添加一行:
nobody ALL = NOPASSWD: /usr/sbin/delpic.sh
完成后再恢复配置文件原有的属性
# chmod 440 /etc/sudoers
说明:
添加到配置文件中的一行命令起什么作用?
注意sudoers的语法:
授权用户 主机=命令动作
此三个对象,缺一不可
第一栏: nobody
此栏标明sudo的应用对象,当前例子是nobody这个用户
备注:如果是用户组,请在前面添加%号
例如:
%admin表示admin这个用户组
第二栏: ALL=
此栏指定当前规则所适用的主机,设置为ALL时表示是所有主机
等号后面可以跟上 用户或用户组,如果省略掉用户或组,表示默认切换到root用户
所以此处等价于:ALL=(root)
再看一个例子:ALL=(ALL)
这个就表示能切换到所有用户
第三栏: NOPASSWD: /usr/sbin/delpic.sh
此栏指定sudo所指定用户可以执行的命令,如有多个命令,可以在此处用逗号隔开
NOPASSWD: 表示无需输入密码进行验证
注意:如不加此项,则默认是需要输入密码验证的
如果是执行某个目录下所有的命令,可以利用通配符
例如: /usr/sbin/*
综述上面的内容:
nobody这个用户可以切换到root执行 /usr/sbin/delpic.sh这个命令,并且在切换时无需输入密码
3,在php程序中调用我们所创建的bash脚本
delpic.php
<?php
//得到文件路径
$filepath = $_GET['filepath'];
//删除文件:
system("sudo /usr/sbin/delpic.sh $filepath");
?>
注意:
从php中调用我们所写的bash脚本时,需要在命令行前面添加 sudo
四: sudo配置文件中其他项的说明:
/etc/sudoers中默认有一行命令是未被注释掉的
root ALL=(ALL) ALL
它的作用:## Allow root to run any commands anywhere
即:允许 root以任何用户的身份在任何主机上运行任何命令
五: 编辑/etc/sudoers的专用命令
编辑/etc/sudoers很麻烦,需要反复修改权限,
我们可以使用visudo进行编辑,这样可以避免修改权限,
当然,前提是要切换到root超级用户下
[lhd@localhost ~]$ su root
密码:
# ll /etc/sudoers
-r--r----- 1 root root 3161 2008-05-05 /etc/sudoers
# visudo
六:多学一点内容:
如果我想在一行规则之中定义多个用户,多个主机,多个命令,应该怎么样写?有无简单的写法?
答案是:我们可以使用别名,
什么是别名?可以这样理解:别名就是定义了变量,然后在规则中引用变量
看例子:
fedora 10上面附带的
Cmnd_Alias STORAGE = /sbin/fdisk, /sbin/sfdisk, /sbin/parted, /sbin/partprobe, /bin/mount, /bin/umount
Cmnd_Alias关键字用来声名命令的别名
STORAGE是别名的名字,实际代表的命令是/sbin/fdisk, /sbin/sfdisk, /sbin/parted, /sbin/partprobe, /bin/mount, /bin/umount
再看两个
Host_Alias MAILSERVERS = smtp, smtp2
主机别名的声明
User_Alias ADMINS = jsmith, mikem
用户别名的声明
实际应用的例子:
%sys ALL = STORAGE
sys这个组可以切换为root超级用户执行STORAGE这个别名所代表的命令
别名的应用很灵活,用法也很多,如有需要,请大家自己参考手册进行更深入的学习
别名的用法执行 man sudoers 这个命令可以看到
一,为什么要用sudo?
sudo可以提高脚本程序的权限,例如:我们曾经遇到过这种问题,
有一些文件需要通过web程序删除,但这些文件apache又没有权限访问,
所以删除不了,给用户使用程序带来不便
所以,这时需要借助于sudo来提高权限
备注:
1,apache为何没有权限?
我们先来看一下apache的用户是谁?
执行:ps auxfww
可以看到:
root 601 0.0 0.0 16092 80 ? S 2008 0:56 /usr/sbin/httpd
nobody 27493 0.0 0.2 19032 2468 ? S Feb08 0:14 \_ /usr/sbin/httpd
nobody 27494 0.0 0.4 18392 4472 ? S Feb08 0:13 \_ /usr/sbin/httpd
nobody 27495 0.0 0.3 18364 3252 ? S Feb08 0:19 \_ /usr/sbin/httpd
nobody 27496 0.0 0.3 23888 3216 ? S Feb08 0:09 \_ /usr/sbin/httpd
当前的apache的用户是nobody,
此设置是由apache的配置文件httpd.conf所设置的
接下来一个问题:我们何不把apache的用户设置root?
这样太不安全,因为使用sudo就意味着风险,我们把权限提得越高,出现错误的可能性就越大,也就越危险
2,apache和脚本是什么关系?
这个要看安装时的设置,因为现在一般是把php安装为apache的一个模块,
所以通过web访问php时,php的执行用户就是apache中所设置的用户
二,如何安装sudo?
一般情况下,sudo作为发行版的标准配置已经默认安装,
但也有未安装的情况,此时安装sudo这个rpm包即可
也可用yum进行安装
# yum install sudo
三,如何使用sudo?
我举一个例子:用来删除无权限访问的图片
分成三步:第一步:写一个bash脚本
第二步:让sudo允许使用bash脚本
第三步:在php程序中调用
1,先写bash脚本:
# vi /usr/sbin/delpic.sh
#!/bin/bash
rm -f $1.jpg
修改权限使可被执行
# chmod 755 /usr/sbin/delpic.sh
说明: delpic.sh中
$1是从命令行接收到的第一个参数
2,在修改sudo的配置文件/etc/sudoers之前,需要先使此配置文件可以被编辑
我们看一下它的属性设置
# ls -l /etc/sudoers
-r--r----- 1 root root 622 Aug 31 2007 /etc/sudoers
下面设置属性,使/etc/sudoers可以被编辑,当然,编辑完成后还需要把权限恢复为原样
# chmod 777 /etc/sudoers
可以编辑了:
# vi /etc/sudoers
添加一行:
nobody ALL = NOPASSWD: /usr/sbin/delpic.sh
完成后再恢复配置文件原有的属性
# chmod 440 /etc/sudoers
说明:
添加到配置文件中的一行命令起什么作用?
注意sudoers的语法:
授权用户 主机=命令动作
此三个对象,缺一不可
第一栏: nobody
此栏标明sudo的应用对象,当前例子是nobody这个用户
备注:如果是用户组,请在前面添加%号
例如:
%admin表示admin这个用户组
第二栏: ALL=
此栏指定当前规则所适用的主机,设置为ALL时表示是所有主机
等号后面可以跟上 用户或用户组,如果省略掉用户或组,表示默认切换到root用户
所以此处等价于:ALL=(root)
再看一个例子:ALL=(ALL)
这个就表示能切换到所有用户
第三栏: NOPASSWD: /usr/sbin/delpic.sh
此栏指定sudo所指定用户可以执行的命令,如有多个命令,可以在此处用逗号隔开
NOPASSWD: 表示无需输入密码进行验证
注意:如不加此项,则默认是需要输入密码验证的
如果是执行某个目录下所有的命令,可以利用通配符
例如: /usr/sbin/*
综述上面的内容:
nobody这个用户可以切换到root执行 /usr/sbin/delpic.sh这个命令,并且在切换时无需输入密码
3,在php程序中调用我们所创建的bash脚本
delpic.php
<?php
//得到文件路径
$filepath = $_GET['filepath'];
//删除文件:
system("sudo /usr/sbin/delpic.sh $filepath");
?>
注意:
从php中调用我们所写的bash脚本时,需要在命令行前面添加 sudo
四: sudo配置文件中其他项的说明:
/etc/sudoers中默认有一行命令是未被注释掉的
root ALL=(ALL) ALL
它的作用:## Allow root to run any commands anywhere
即:允许 root以任何用户的身份在任何主机上运行任何命令
五: 编辑/etc/sudoers的专用命令
编辑/etc/sudoers很麻烦,需要反复修改权限,
我们可以使用visudo进行编辑,这样可以避免修改权限,
当然,前提是要切换到root超级用户下
[lhd@localhost ~]$ su root
密码:
# ll /etc/sudoers
-r--r----- 1 root root 3161 2008-05-05 /etc/sudoers
# visudo
六:多学一点内容:
如果我想在一行规则之中定义多个用户,多个主机,多个命令,应该怎么样写?有无简单的写法?
答案是:我们可以使用别名,
什么是别名?可以这样理解:别名就是定义了变量,然后在规则中引用变量
看例子:
fedora 10上面附带的
Cmnd_Alias STORAGE = /sbin/fdisk, /sbin/sfdisk, /sbin/parted, /sbin/partprobe, /bin/mount, /bin/umount
Cmnd_Alias关键字用来声名命令的别名
STORAGE是别名的名字,实际代表的命令是/sbin/fdisk, /sbin/sfdisk, /sbin/parted, /sbin/partprobe, /bin/mount, /bin/umount
再看两个
Host_Alias MAILSERVERS = smtp, smtp2
主机别名的声明
User_Alias ADMINS = jsmith, mikem
用户别名的声明
实际应用的例子:
%sys ALL = STORAGE
sys这个组可以切换为root超级用户执行STORAGE这个别名所代表的命令
别名的应用很灵活,用法也很多,如有需要,请大家自己参考手册进行更深入的学习
别名的用法执行 man sudoers 这个命令可以看到