实现Webconsole功能

近期负责运维研发的工作，前段时间研究了一下WebSocket和Linux下伪终端的功能，主要目的是一直在思考，如何实现WebConsole功能，让公司的同事能够基于浏览器能够安全的登录到公司的服务器，并与公司的安全体系一起，实现权限可管理的、安全性有保证的Web端的shell的功能。

WebConsole简介

理论上来说应该叫做WebShell，它是一种以网页形势存在的一种命令执行环境，也可以成为一种网页后门。
WebShell因为简单易用，所以一方面常常用于服务器管理，可以方便管理员、站长甚至于程序员方便的登录到服务器，进行必要的操作和维护，但是另外一方面它常常容易被入侵者利用，从而达到控制服务器的目的。

目前常用的WebShell有Gateone、WebSSH2、shellinabox等等，产品很多。

如何实现伪终端

伪终端的实现原理，可以参考 Linux伪终端一文，在该文中进行了详细的原理和代码讲解。这里我们也简要描述一下：

实现步骤：

• open /dev/ptmx
• 生成ptsname：调用ioctl(fd, syscall.TIOCGPTN, &n)，这里会得到当前终端编号，终端名格式为：/dev/pts/?
• 清除slave PTY lock：调用ioctl(f.Fd(), syscall.TIOCSPTLCK, &u)
• 启动/bin/bash进程，并把进程的输入输出绑定到伪终端中

这样/bin/bash进程的输入和输出，都在PTS上进行， 而前文我们分析过，PTS与PTM形成了一种双向管道的模式。

 

    PTM输出  --->  PTS输入
    PTS输出  --->  PTM输入

WebSocket实现WebConsole

WebSocket是很通用的技术，这里就不做过多的描述，可以参考一下WebSocket Helloworld!这篇文章。

有了前面的铺垫，我们很容易基于WebSocket来实现WebConsole了，具体的架构图如下所示：

 

webconsole.png

在浏览器端，需要嵌入xterm.js插件，实现对终端的输入输出支持能力，通过Websocket连接到后端服务后，在服务端把连接升级为WebSocket连接，并创建一个终端管理模型与一个/bin/bash进程

• 把终端管理模型的PTY Slave端的输入输出绑定到/bin/bash的输入输出中
• 把WebSocket连接的输入输出与PTY Master的输出输入绑定

这样一个WebConsole的雏形就完成了。

实现安全可靠的WebConsole

从web上访问shell功能，如何授权，并且保证系统安全性是一个需要深入考虑的问题。像上面那样，仅仅通过http提供服务支持，系统无法保证安全性。所以要做以下几个方面的考虑：

• 认证 ： 基于公司的登录体系
• 授权 ： 基于授权开通用户的服务器
• 网络安全： 基于公司内网体系/内部防火墙
• 审计：通过日志记录登录用户执行的所有命令

具体细节设计到一些公司安全方面的事宜，这里不便深入分析，有兴趣的朋友可以按照以上思路自己去实现。