[Cascavel-pm] Como fazer o perl executar programas externos sob outro usuario [Was: CGI + Password]
Luis Campos de Carvalho
lechamps em terra.com.br
Quinta Março 13 06:38:13 CST 2003
----- Original Message -----
From: "Alceu R. de Freitas Jr." <glasswalk3r em yahoo.com.br>
Sent: Wednesday, March 12, 2003 7:55 PM
> ---- Luis Campos de Carvalho <lechamps em terra.com.br>
> escreveu: > ----- Original Message -----
> >
> > Pobre moderador. Além de ter de agüêntar estes [...]
> > vamos ter de pagar umas 'brejas para ele... [que o
> Desse jeito o número de candidatos à moderadores da
> lista vai aumentar!
Isso pode vir a ser muito saudável para a lista... =-] e pode ajudar a
manter a sanidade mental do moderador...
> > CUIDADO!! sudo(3) é um programa perigosíssimo para[...]
>
> Agora eu não entendi... por que perigoso?
> Eu permito o usuário do servidor web rodar um programa
> como root... mas posso especificar EXATAMENTE qual o
> comando, pathname e opções do mesmo, sem contar o host
> daonde pode ser executado e ainda exigir que o
> servidor de autentique.
> Claro, se você não configurar o SUDO direito, aí é
> pior do que usar Suid!
> Você poderia explicar um pouco melhor seu ponto de
> vista sobre isso?
O sudo(3) depende de uma gramática regular que precisa estar MUITO
fechadinha para não permitir corruptelas... um sudo(3) bem configurado ainda
pode ter falhas de segurança graves. É fácil "forçar" um buffer overflow com
sudo(3).
Outro aspecto interessante é a criação de uma dependência de software não
explícita: você depende do sudo para rodar seus programas Perl. Isso não é
muito intuitivo e pode levar a dores-de-cabeça futuras, se algum dia você
resolver usar o Califa (similar ao sudo) ou outro programa para tornar o
linux maniqueísta...
Eu não me arriscaria. =-] Mas é apenas a opinião de um pobre monge perl...
=-]
Boa sorte...
--
=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=
Luis Campos de Carvalho
Computer Science Student
OCP DBA Oracle & Unix Sys Admin
=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=
Mais detalhes sobre a lista de discussão Cascavel-pm