[devel] Правка файлов в /etc вовремя установки

[devel] Правка файлов в /etc вовремя установки

[Max Ivanov]

Пытаюсь опакетить одну интересную софтинку. Единсвтенная её проблема -
собственнописанный инсталлер install.sh, который предполагается
запускать от рута. Пока не знаю, как решить следующие проблемы:
1)  Программа предполагает правку sudoers. Могу это дело засунуть в
postinstall скрипты, корректно ли это будет?
2)  Одно из главных назначений программы - правка конфигов в /etc
через веб интерфейс (не своих, а вообще другого пакета). Сам веб
интерфейс работает из под апача. Соответственно вовремя установки
программа пытается менять права на эти чужие конфиги таким образом,
чтобы группа www сервера имела право на запись.Можно ли смену прав
автоматизировать или лучше написать об этом в howto,чтобы пользователь
сам?

Re: [devel] Правка файлов в /etc вовремя установки

[Epiphanov Sergei]

В сообщении от Tuesday 17 June 2008 13:23:59 Max Ivanov написал(а):
> Пытаюсь опакетить одну интересную софтинку. Единсвтенная её проблема -
> собственнописанный инсталлер install.sh, который предполагается
> запускать от рута. Пока не знаю, как решить следующие проблемы:
> 1)  Программа предполагает правку sudoers. Могу это дело засунуть в
> postinstall скрипты, корректно ли это будет?
> 2)  Одно из главных назначений программы - правка конфигов в /etc
> через веб интерфейс (не своих, а вообще другого пакета). Сам веб
> интерфейс работает из под апача. Соответственно вовремя установки
> программа пытается менять права на эти чужие конфиги таким образом,
> чтобы группа www сервера имела право на запись.Можно ли смену прав
> автоматизировать или лучше написать об этом в howto,чтобы пользователь
> сам?

Что-то мне не нравится это. Если пользователь, под которым работает 
www-сервер, сможет править системные конфиги в /etc, то это будет большая 
дыра. Кроме того, некоторые программы (тот же sudo) требуют, чтобы права и 
владелец/группа на системные файлы (и/или каталоги) были определённые.

-- 
С уважением, Епифанов Сергей

Re: [devel] Правка файлов в /etc вовремя установки

[Dmitriy M. Maslennikov]

17.06.08, Max Ivanov<ivanov.maxim@gmail.com> написал(а):
> Пытаюсь опакетить одну интересную софтинку.
Она вредная, опасная и совсем не интересная, если судить по
нижеописанному. Лучше ее не пакетить.

>  Единсвтенная её проблема -
>  собственнописанный инсталлер install.sh, который предполагается
>  запускать от рута. Пока не знаю, как решить следующие проблемы:
>  1)  Программа предполагает правку sudoers. Могу это дело засунуть в
>  postinstall скрипты, корректно ли это будет?
>  2)  Одно из главных назначений программы - правка конфигов в /etc
>  через веб интерфейс (не своих, а вообще другого пакета). Сам веб
>  интерфейс работает из под апача. Соответственно вовремя установки
>  программа пытается менять права на эти чужие конфиги таким образом,
>  чтобы группа www сервера имела право на запись.Можно ли смену прав
>  автоматизировать или лучше написать об этом в howto,чтобы пользователь
>  сам?

-- 
Dmitriy M. Maslennikov
rlz@etersoft.ru
rlz@altlinux.org
maslennikovdm@gmail.com
master@armory.ru

Re: [devel] Правка файлов в /etc вовремя установки

[Led]

Tuesday, 17 June 2008 12:23:59 Max Ivanov написав:
> Пытаюсь опакетить одну интересную софтинку. Единсвтенная её проблема -
> собственнописанный инсталлер install.sh, который предполагается
> запускать от рута. Пока не знаю, как решить следующие проблемы:
> 1)  Программа предполагает правку sudoers. Могу это дело засунуть в
> postinstall скрипты, корректно ли это будет?

Врядли.

> 2)  Одно из главных назначений программы - правка конфигов в /etc
> через веб интерфейс (не своих, а вообще другого пакета). Сам веб
> интерфейс работает из под апача. Соответственно вовремя установки
> программа пытается менять права на эти чужие конфиги таким образом,
> чтобы группа www сервера имела право на запись.Можно ли смену прав
> автоматизировать или лучше написать об этом в howto,чтобы пользователь
> сам?

Это действительно настолько "интересная софтинка"?


-- 
Led

Re: [devel] Правка файлов в /etc вовремя установки

[Max Ivanov]

Это веб конфигурилка к nagios её основная цель, как раз править
конфиги в /etc от имени www сервера.

Как сейчас у нас alterator-www делает все что захочешь с системой?

> Что-то мне не нравится это. Если пользователь, под которым работает
> www-сервер, сможет править системные конфиги в /etc, то это будет большая
> дыра. Кроме того, некоторые программы (тот же sudo) требуют, чтобы права и
> владелец/группа на системные файлы (и/или каталоги) были определённые.

Re: [devel] Правка файлов в /etc вовремя установки

[Max Ivanov]

Centreon - веб обёртка вокруг nagios.
Фичи: http://www.centreon.com/Product/Features-Centreon-2.0.html
Скриншоты: http://www.centreon.com/Product/Screenshots.html

> Это действительно настолько "интересная софтинка"?
>
>
> --
> Led
> _______________________________________________
> Devel mailing list
> Devel@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/devel

Re: [devel] Правка файлов в /etc вовремя установки

[Dmitriy M. Maslennikov]

17.06.08, Max Ivanov<ivanov.maxim@gmail.com> написал(а):
> Это веб конфигурилка к nagios её основная цель, как раз править
>  конфиги в /etc от имени www сервера.
>
>  Как сейчас у нас alterator-www делает все что захочешь с системой?
Ну это можно делать либо suid'ными утилитами, либо взывая к демону,
запущенному от рута. Так как веб-сервера все дырявые, то им лучше
таких больших прав не давать.

-- 
Dmitriy M. Maslennikov
rlz@etersoft.ru
rlz@altlinux.org
maslennikovdm@gmail.com
master@armory.ru

Re: [devel] Правка файлов в /etc вовремя установки

[Anton Farygin]

Max Ivanov пишет:
> Это веб конфигурилка к nagios её основная цель, как раз править
> конфиги в /etc от имени www сервера.
> 
> Как сейчас у нас alterator-www делает все что захочешь с системой?

Альтератор работает от рута, а www интерфейс - от apache.

Общаются они через сокет.

Re: [devel] Правка файлов в /etc вовремя установки

[Max Ivanov]

Хорошо, переписывать само приложение на подобный стиль работы я не
собираюсь. Предлагаю вот что:
1) Создать отдельный пакет, который всё настроит из своего
postinstall. Сам этот пакет  автоматом ставится не будет. Назвём его,
скажем, centreon-autosetup
2) В QuickHowTo в основном пакете укажу что надо сделать руками, чтобы
заработало, и добавлю, что если сильно лениво, можете поставить
centreon-autosetup.
3) Можно ли в rpm, как в гентушных ebuild'ах выводить неинтерактивные
сообщения пользователю? Т.е. я понимаю, что можно просто echo
сделать, я имею ввиду какой-нибудь особый макрос который не только на
экран выведет, но и в какой-нибудь особый лог файл сложит, чтобы
пользователь мог прочитать все сообщения, даже если он пачкой ставит
немерянное количество rpm'ок.

Re: [devel] Правка файлов в /etc вовремя установки

[Dmitriy M. Maslennikov]

17.06.08, Anton Farygin<rider@altlinux.com> написал(а):
>  Альтератор работает от рута, а www интерфейс - от apache.
>
>  Общаются они через сокет.
Правда от уязвимости, которая позволяет выполнить произвольный код это
не спасет. Но спасет от уязвимости, которая, скажем позволяет получить
или загрузить произвольный файл.

-- 
Dmitriy M. Maslennikov
rlz@etersoft.ru
rlz@altlinux.org
maslennikovdm@gmail.com
master@armory.ru

Re: [devel] Правка файлов в /etc вовремя установки

[Alexey I. Froloff]

[-- Attachment #1: Type: text/plain, Size: 407 bytes --]

* Max Ivanov <ivanov.maxim@> [080617 14:06]:
> 1) Создать отдельный пакет, который всё настроит из своего
> postinstall. Сам этот пакет  автоматом ставится не будет. Назвём его,
> скажем, centreon-autosetup
Права слетят при следующем обновлении "другого пакета".  Лучше
договоритесь с мантейнером и/или используйте suid'ные helper'ы
или sudo (кстати, есть /etc/sudo.d/).

-- 
Regards,
Sir Raorn.

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] Правка файлов в /etc вовремя установки

[Epiphanov Sergei]

В сообщении от Tuesday 17 June 2008 13:56:48 Dmitriy M. Maslennikov 
написал(а):
> >  Альтератор работает от рута, а www интерфейс - от apache.
> >  Общаются они через сокет.
>
> Правда от уязвимости, которая позволяет выполнить произвольный код это
> не спасет. Но спасет от уязвимости, которая, скажем позволяет получить
> или загрузить произвольный файл.

Спасёт от уязвимости, так как всё равно в системе не напортачишь. Так как 
тогда зловредный код сможет по своему усмотрению перелопатить настройки 
сервера. Что вы получите - не знаю. Например, xinetd время от времени 
перечитывает свои конфигурационные файлы. И такая безалаберность с правами 
позволит запустить программу-сервер от лица root, а потом уже root-ом 
устроить любой погром в системе.

-- 
С уважением, Епифанов Сергей