Suppression des permissions de la racine en Python

Question

J'aimerais qu'un programme Python commence à écouter le port 80, mais qu'il s'exécute ensuite sans les autorisations de Root. Existe-t-il un moyen de supprimer Root ou d'obtenir le port 80 sans lui ?

Answer 1

Vous ne pourrez pas ouvrir un serveur sur le port 80 sans les privilèges Root, il s'agit d'une restriction au niveau du système d'exploitation. La seule solution est donc de supprimer les privilèges Root après avoir ouvert le port.

Voici une solution possible pour supprimer les privilèges Root dans Python : Suppression de privilèges en Python . C'est une bonne solution en général, mais vous devrez également ajouter os.setgroups([]) à la fonction pour s'assurer que l'appartenance au groupe de l'utilisateur racine n'est pas conservée.

J'ai copié et nettoyé un peu le code, et j'ai supprimé la journalisation et les gestionnaires d'exception pour vous laisser le soin de les gérer. OSError correctement (elle sera levée si le processus n'est pas autorisé à changer son UID ou GID effectif) :

import os, pwd, grp

def drop_privileges(uid_name='nobody', gid_name='nogroup'):
    if os.getuid() != 0:
        # We're not root so, like, whatever dude
        return

    # Get the uid/gid from the name
    running_uid = pwd.getpwnam(uid_name).pw_uid
    running_gid = grp.getgrnam(gid_name).gr_gid

    # Remove group privileges
    os.setgroups([])

    # Try setting the new uid/gid
    os.setgid(running_gid)
    os.setuid(running_uid)

    # Ensure a very conservative umask
    old_umask = os.umask(077)

Answer 2

Je recommande d'utiliser authbind pour lancer votre programme Python, de sorte qu'aucune partie de celui-ci n'ait à s'exécuter en tant que Root.

https://en.wikipedia.org/wiki/Authbind

Answer 3

Ce n'est pas une bonne idée de demander à l'utilisateur de saisir son nom d'utilisateur et son groupe chaque fois que je dois supprimer des privilèges. Voici une version légèrement modifiée du code de Tamás qui supprimera les privilèges et passera à l'utilisateur qui a lancé la commande sudo. Je suppose que vous utilisez sudo (si ce n'est pas le cas, utilisez le code de Tamás).

#!/usr/bin/env python3

import os, pwd, grp

#Throws OSError exception (it will be thrown when the process is not allowed
#to switch its effective UID or GID):
def drop_privileges():
    if os.getuid() != 0:
        # We're not root so, like, whatever dude
        return

    # Get the uid/gid from the name
    user_name = os.getenv("SUDO_USER")
    pwnam = pwd.getpwnam(user_name)

    # Remove group privileges
    os.setgroups([])

    # Try setting the new uid/gid
    os.setgid(pwnam.pw_gid)
    os.setuid(pwnam.pw_uid)

    #Ensure a reasonable umask
    old_umask = os.umask(0o22)

#Test by running...
#./drop_privileges
#sudo ./drop_privileges
if __name__ == '__main__':
    print(os.getresuid())
    drop_privileges()
    print(os.getresuid())

Answer 4

1. systemd peut le faire pour vous, si vous démarrez votre programme via systemd, systemd peut lui transférer le socket d'écoute déjà ouvert, et il peut également activer votre programme à la première connexion. et vous n'avez même pas besoin de le démoniser.

2. Si vous optez pour l'approche autonome, vous avez besoin de la capacité CAP_NET_BIND_SERVICE (consultez la page de manuel des capacités). Cela peut être fait programme par programme avec l'outil de ligne de commande approprié, ou en faisant en sorte que votre application (1) soit suid Root (2) démarre (3) écoute le port (4) abandonne immédiatement les privilèges/capacités.

Rappelez-vous que les programmes suid Root sont accompagnés de nombreuses considérations de sécurité (environnement propre et sécurisé, umask, privilèges, rlimits, toutes ces choses sont des éléments que votre programme devra configurer correctement). Si vous pouvez utiliser quelque chose comme systemd, c'est encore mieux.

Answer 5

La plupart de ces méthodes fonctionnent, à moins que vous n'ayez besoin de demander le socket après avoir fait d'autres choses pour lesquelles vous ne voulez pas être super-utilisateur.

J'ai créé un projet intitulé pochette d'échange il y a quelque temps. Il permet de passer des sockets entre processus sur un système posix. Ce que je fais, c'est que je crée un processus au début qui reste superutilisateur, et le reste du processus descend dans les permissions et demande ensuite la socket à l'autre.