2

我正在尝试以其他用户（不是 root）身份运行 python 脚本，该用户也是没有 shell 的系统用户。我知道我不能直接在脚本上设置 suid 标志，所以我写了一个 C++ 包装器。

包装器.cpp

#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>
#include <iostream>

int main(void)
{
    std::cout << geteuid() << std::endl;

    setgid(getgid());
    setuid(getuid());

    execl("/usr/bin/python2.6", "/usr/bin/python2.6", "test.py", NULL);
}

并设置以下权限

sudo chown NoShellUser:NoShellGroup /path/to/wrapper
sudo chmod 7755 /path/to/wrapper

最后，要尝试一下，我有一个 python 脚本

import sys
import getpass
import os
import pwd
print "VERSION:", sys.version
print "USER:", getpass.getuser(), pwd.getpwuid(os.getuid())
print "EUSER:", pwd.getpwuid(os.geteuid())

如果这很重要，则具有以下权限

sudo chown NoShellUser:NoShellGroup /path/to/test.py
sudo chmod 7755 /path/to/test.py

现在，当我以用户“测试”的身份运行整个事情时，我看到了：

255                                                    # UID of NoShellUser
VERSION: 2.6.8 (unknown, Apr 12 2012, 20:59:36)        # Don't know where that comes from
[GCC 4.1.2 20080704 (Red Hat 4.1.2-52)]                # Don't know where that comes from
USER: test pwd.struct_passwd(pw_name='test', pw_passwd='hash', pw_uid=20804, pw_gid=604, pw_gecos='Name Surname', pw_dir='/home/test', pw_shell='/bin/bash')
EUSER: pwd.struct_passwd(pw_name='test', pw_passwd='hash', pw_uid=20804, pw_gid=604, pw_gecos='Name Surname', pw_dir='/home/test', pw_shell='/bin/bash')

如您所见，有效用户仍然是“测试”。有人可以指出我做错了什么，因为我已经看过几个例子，它们似乎都或多或少地展示了完全相同的东西？

4

1 回答 1

1

你的包装有点错误 - 试试这个

#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>
#include <iostream>

int main(void)
{
  std::cout << "Real user " << getuid() << std::endl;
  std::cout << "Effective user " << geteuid() << std::endl;

  setregid(getegid(), getegid());
  setreuid(geteuid(), geteuid());

  std::cout << "Real user " << getuid() << std::endl;
  std::cout << "Effective user " << geteuid() << std::endl;

  execl("/usr/bin/python2.6", "/usr/bin/python2.6", "test.py", NULL);
}

它在执行 python 脚本之前将真实有效的用户/组 id 设置为有效组 id。

于 2012-06-17T20:09:29.990 回答