[Sysadmins] Apache: процессы из-под пользователя apache2, но один - root

[Sysadmins] Apache: процессы из-под пользователя apache2, но один - root

[Olvin]

Почему 6762 под root'ом остаётся, когда все остальные процессы под apache2?
[paranoia on]
Как сделать так, чтобы всё запускалось под apache2?
[paranoia off]

# ps aux|grep http
root      6762  0.0  0.2  48512   548 ?        Ss   Jun21   0:01 
/usr/sbin/httpd2
apache2  18818  0.0  0.1  48684   408 ?        S    Jun22   0:00 
/usr/sbin/httpd2
apache2  18819  0.0  0.1  48684   408 ?        S    Jun22   0:00 
/usr/sbin/httpd2
apache2  18820  0.0  0.1  48684   408 ?        S    Jun22   0:00 
/usr/sbin/httpd2
apache2  18821  0.0  0.1  48684   408 ?        S    Jun22   0:00 
/usr/sbin/httpd2
apache2  18822  0.0  0.1  48684   408 ?        S    Jun22   0:00 
/usr/sbin/httpd2

Re: [Sysadmins] Apache: процессы из-под пользователя apache2, но один - root

[Alexey I. Froloff]

[-- Attachment #1: Type: text/plain, Size: 261 bytes --]

* Olvin <olvin@> [080623 15:25]:
> Почему 6762 под root'ом остаётся, когда все остальные процессы под apache2?
Так надо.  Это диспетчер.

> Как сделать так, чтобы всё запускалось под apache2?
Почитайте про архитектуру apache.

-- 
Regards,
Sir Raorn.

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [Sysadmins] Apache: процессы из-под пользователя apache2, но один - root

[Max Ivanov]

Апач работает на 80 порту, никто кроме рута не имеет права открывать
порты ниже 1024, так что один процесс рутовый будет в любом случае.


> Почему 6762 под root'ом остаётся, когда все остальные процессы под apache2?
> [paranoia on]
> Как сделать так, чтобы всё запускалось под apache2?
> [paranoia off]

Re: [Sysadmins] [OT] Apache: процессы из-под пользователя apache2, но один - root

[Ivan Fedorov]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

2008/6/23 Max Ivanov :
> Апач работает на 80 порту, никто кроме рута не имеет права открывать
> порты ниже 1024, так что один процесс рутовый будет в любом случае.

[offtopic]
Ну насколько мне не изменяет мой склероз, от этого можно и избавиться,
если скидывать привилегии после прицепления к порту.
Но у апача есть много других мест, где могут быть нужны привилегии
root. (Например suexec.)

А 80й порт в системах с SELinux или иными вариантами MAC можно и не
только root пользовать...
[/offtopic]
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.9 (GNU/Linux)
Comment: http://getfiregpg.org

iEYEARECAAYFAkhgHJ4ACgkQMJy3oC+NmVvc8wCeOtUrcZ0Gey4psmK3IGQgIhf3
wEwAoJ7FPgQpn83N1sAD9lBB12vD1V+i
=9ZVJ
-----END PGP SIGNATURE-----

Re: [Sysadmins] Apache: процессы из-под пользователя apache2, но один - root

[Olvin]

Max Ivanov wrote:
>> Почему 6762 под root'ом остаётся, когда все остальные процессы под apache2?
>> [paranoia on]
>> Как сделать так, чтобы всё запускалось под apache2?
>> [paranoia off]
> Апач работает на 80 порту, никто кроме рута не имеет права открывать
> порты ниже 1024, так что один процесс рутовый будет в любом случае.

Это я знаю. Только вот тот же bind спокойно работает на 53-м порту не 
из-под root. Ведь можно же прицепиться к порту и сбросить привилегии...

Re: [Sysadmins] Apache: процессы из-под пользователя apache2, но один - root

[Alexey Borovskoy]

* Четверг 26 июня 2008 Olvin

> Max Ivanov wrote:
> >> Почему 6762 под root'ом остаётся, когда все остальные
> >> процессы под apache2? [paranoia on]
> >> Как сделать так, чтобы всё запускалось под apache2?
> >> [paranoia off]
> >
> > Апач работает на 80 порту, никто кроме рута не имеет права
> > открывать порты ниже 1024, так что один процесс рутовый
> > будет в любом случае.
>
> Это я знаю. Только вот тот же bind спокойно работает на 53-м
> порту не из-под root. Ведь можно же прицепиться к порту и
> сбросить привилегии...

И как потом рулить дочерними процессами?


-- 
Алексей.
GPG key fingerprint
949B BC0E 2C44 7528 4F63  2753 E37A 9E3F 11F3 BDE1

Re: [Sysadmins] Apache: процессы из-под пользователя apache2, но один - root

[Dmitriy Shadrinov]

25 June 2008, Alexey Borovskoy написал(а):
> * Четверг 26 июня 2008 Olvin
>
> > Max Ivanov wrote:
> > >> Почему 6762 под root'ом остаётся, когда все остальные
> > >> процессы под apache2? [paranoia on]
> > >> Как сделать так, чтобы всё запускалось под apache2?
> > >> [paranoia off]
> > >
> > > Апач работает на 80 порту, никто кроме рута не имеет права
> > > открывать порты ниже 1024, так что один процесс рутовый
> > > будет в любом случае.
> >
> > Это я знаю. Только вот тот же bind спокойно работает на 53-м
> > порту не из-под root. Ведь можно же прицепиться к порту и
> > сбросить привилегии...
>
> И как потом рулить дочерними процессами?

Кстати, у bind в этом плане есть серьезные проблемы. Если интерфейс 
динамический, например ppp, то после опускания/поднятия интерфейса он 
становится нефункционален.

Re: [Sysadmins] Apache: процессы из-под пользователя apache2, но один - root

[Olvin]

Dmitriy Shadrinov пишет:
>>>>> Почему 6762 под root'ом остаётся, когда все остальные
>>>>> процессы под apache2? [paranoia on]
>>>>> Как сделать так, чтобы всё запускалось под apache2?
>>>>> [paranoia off]
>>>> Апач работает на 80 порту, никто кроме рута не имеет права
>>>> открывать порты ниже 1024, так что один процесс рутовый
>>>> будет в любом случае.
>>> Это я знаю. Только вот тот же bind спокойно работает на 53-м
>>> порту не из-под root. Ведь можно же прицепиться к порту и
>>> сбросить привилегии...
>> И как потом рулить дочерними процессами?
> Кстати, у bind в этом плане есть серьезные проблемы. Если интерфейс 
> динамический, например ppp, то после опускания/поднятия интерфейса он 
> становится нефункционален.

Только что попробовал ifdown lo;ifup lo. Работает bind как и прежде для 
клиентов из 127.0.0.1. Только вот что смущает:

# ps aux|grep named
named     5040  0.0  0.6   5448  1584 ?        Ss   Jun24   0:01 
/usr/sbin/named
# netlist|grep named
root     5040  named   23 tcp       127.0.0.1:953           0.0.0.0:0 
   LISTEN
root     5040  named   21 tcp       127.0.0.1:53            0.0.0.0:0 
   LISTEN
root     5040  named   20 udp       127.0.0.1:53            0.0.0.0:0 
   CLOSE
root     5040  named   22 udp         0.0.0.0:1025          0.0.0.0:0 
   CLOSE

Так от какого же пользователя? :-/