suexec 関係
引数
常に 3 個取る。
- 引数 1: uid (番号でも名前でもよい), mod_userdir 経由のアクセスの場合は先頭に ~ が付く (e.g. ~1000)
~ が付いたままでは uid として使えないので、その場合は内部で ~ を取り除いてから使っている。(そして内部の userdir フラグを立てる) - 引数 2: gid (番号でも名前でもよい)
- 引数 3: スクリプトファイル名 (パスは含まない)
/ で始まっている場合 (絶対パスでの指定), ../ や /../ が含まれている場合 (上位ディレクトリを参照しようとしている) はエラーを吐いて実行を拒否 - Action 等で Handler から呼ばれる場合、実行したいスクリプト本体は環境変数 PATH_INFO と PATH_TRANSLATED で指定される。
動作
スクリプトファイルのディレクトリに chdir された状態で実行が開始される。
- 許可済みの環境変数のみが含まれた”クリーンな”環境を生成
- 自分の uid を取得し、/etc/passwd の中に存在するかチェック
- さらに、自分の uname が AP_HTTPD_USER かどうかチェック
- 第一引数が -V かどうかチェックし、もしそうならコンパイル情報を表示して終了
- その際、uid が 0 (root) か apache の実行ユーザーかチェックし、そうでないなら表示しない
- 引数が 3 つ未満なら異常終了
- スクリプトファイル名をチェック。以下のようになっていたら異常終了
- / で始まっている (絶対パスの指定はダメ)
- ../ で始まっている (上位ディレクトリに行こうとしてるのはダメ)
- /../ を含んでいる (ダメ)
- uid の先頭に ~ が付いているかチェックし、付いていたら内部の userdir 使用フラグを立てて ~ を削除
- SUEXEC_DOCROOT と SUEXEC_USERDIR_SUFFIX を取得してチェック
- SUEXEC_USERDIR_SUFFIX は全てアルファベットか数字で構成されている必要あり、’.’ で始まらない必要あり
- SUEXEC_DOCROOT は ‘/’ で始まっていないとダメ (絶対パスのみ許可)、一文字で終わっていたり ‘/’ や ‘.’ が二文字目にあったらダメ
- 指定された実行用 uid と gid が存在するかチェック
- ログに uid, gid, スクリプト名を記録
- 指定された uid/gid が最小値以上になっているかチェック
- gid -> uid の順にプロセスが持つ現在の id から指定された id へ変更
- カレントディレクトリのパスを取得し、正当性をチェック (SUEXEC_DOCROOT の中にあるか等)
- 具体的な方法は後でもっとよく見る
- カレントディレクトリは本当にディレクトリか？(違ったら異常終了)
- カレントディレクトリは others または group から書き込み可能でないか？
- group を許可するオプション付けてくれてもいいよね…
- 実行しようとしているスクリプト本体にアクセスできるか？
- スクリプト本体は others または group から書き込み可能でないか？
- group をどうにかするオプションを…
- スクリプト本体は setuid または setgid されていないか？
- 指定された uid/gid が
- スクリプト本体の uid/gid と同じか？
- カレントディレクトリの uid/gid と同じか？
- スクリプト本体に所有者の実行権限が付いているか？
- AP_SUEXEC_UMASK で指定された umask をセット
- others および group に対して書き込み権限がセットされないかチェック
- ログファイルをクローズ
- exec() が成功した時にのみ閉じるようなフラグをセットすることで実現
- スクリプト本体を実行
- execve() でプロセス自体をスクリプト本体に移行させるので、この時点で suexec のプロセスは終わる
- 実行に失敗したらエラーを吐いて終了