[PHP/Linux] Beheersen applicaties

[MueR]

Mogguh,

Ik ben momenteel bezig met een vrij uitgebreide website voor een gamehost. Nou is dit alles freelance, en doe ik dit puur als hobby, dus ik probeer geen geld te verdienen over jullie rug .
Wat ik wil doen, is voor klanten van de gamehost een controle paneel maken, waarmee ze hun gameserver kunnen starten/stoppen, en eventueel een filemanager erbij om het uploaden van maps makkelijker te maken.

Het probleem waar ik constant tegen aanloop, wanneer ik probeer een gameserver te stoppen of starten, is dat PHP runt onder apache, en deze de user "www-data" heeft; een user zonder rechten, enkel in het leven geroepen om de webserver te draaien.
Via PHP is het heel goed mogelijk om processen aan te roepen en dergelijke. Dit kan bijvoorbeeld via de functies exec() of system(). Echter hier loop ik weer tegen het probleem met de users aan. Een gameserver heeft bijvoorbeeld een user met de naam 'ftd'. De server moet dan ook gestart worden onder die user, anders werken de configs niet goed.

Heeft iemand ervaring met het aansturen van processen op een dergelijke wijze? Ik weet eigenlijk niet meer goed waar ik moet zoeken. Alvast bedankt

[Grijze Vos]

Kijk eens naar chroot.

[Soultaker]

chroot

Bedoel je niet sudo?

[MueR]

Voor chroot is root access vereisd.. dat wilde ik nou net niet hebben, daarom is er die user www-data.

[Verwijderd]

php in cgi mode draaien onder suexec??

edit: nope, gaat ook niet werken... (eerst denken, dan posten )

ehmmm... scriptje maken om die servers te starten en te stoppen en dat chmod +s doen??

[ Voor 68% gewijzigd door Verwijderd op 29-03-2005 01:55 ]

[MueR]

Het probleem zal hem echter gaan zitten in het aansturen van servers op andere boxen. Ik denk dat sudo hiervoor het beste te gebruiken is. De communicatie tussen de boxen zal nog wel wat stof tot nadenken geven.

[Coen Rosdorff]

MueR schreef op dinsdag 29 maart 2005 @ 01:55:
Het probleem zal hem echter gaan zitten in het aansturen van servers op andere boxen. Ik denk dat sudo hiervoor het beste te gebruiken is. De communicatie tussen de boxen zal nog wel wat stof tot nadenken geven.

Ssh + authorized_keys voor opdrachten op andere machines.

[Wolfboy]

Verwijderd schreef op dinsdag 29 maart 2005 @ 01:52:
ehmmm... scriptje maken om die servers te starten en te stoppen en dat chmod +s doen??

En dat gaat ook niet werken, scripts een +s bitje geven heeft geen nut onder linux.

[MueR]

Verwijderd schreef op dinsdag 29 maart 2005 @ 01:52:
scriptje maken om die servers te starten en te stoppen en dat chmod +s doen??

Het scriptje is er al, dat vonden ze zelf wel makkelijk als ze een server vanuit SSH moeten starten (en geef ze eens ongelijk).

[Maestro]

www.suphp.org misschien een optie?

[Gerco]

Ik gebruik voor precies hetzelfde doel een klein C programma, Runsuid waarmee je scripts wel suid kunt runnen. Het heeft zo zn beperkingen (en met een goede reden), maar zolang het script niet writable is voor iemand anders dan root lijkt het me redelijk ongevaarlijk.

Een andere optie is om een server daemon te gebruiken waaraan je php script connect. Die daemon vervolgens user switchen naar de user die je wilt besturen en command als die user uitvoeren. Dat proces moet dan natuurlijk wel als root draaien.

Voordeel van de laatste methode is wel dat je het ook makkelijk kan gebruiken om meerdere servers aan te sturen aangezien het niet uitmaakt waar die daemon draait, zo lang 'ie maar met het netwerk praat.

[ Voor 47% gewijzigd door Gerco op 29-03-2005 08:01 ]

[Thijsmans]

Stond er in de httpd.conf van apache niet de user waarmee apache moet runnen? Als je die nu eens verandert?

_{anders was het de php.ini, 1 v/d 2}

[jan-marten]

Via PHP de bestanden naar jezelf uploaden via FTP (PHP kan bestanden FTP'en). PHP kan dan inloggen op de eigen server onder een andere naam.

[Koelkasten]

met je php bestanden een var zetten in een file of in database bijvoorbeeld in de file
/usr/local/bin/scripts/config.cfg
rebootgameserver = 0

Met je php script verander je die file (of doe je het via een database) naar rebootgameserver = 1


Vervolgens heb je in je cron job gewoon een script staan wat elke minuut gerunt wordt en kijkt of er in de file /usr/local/bin/scripts/config.cfg de rebootgameserver waarde 1 is indien ja geef je het commando om de game server te restarten. Gezien je het script uit de cron job gewoon onder root rechten kan laten draaien of elke willekeurige user (zie man cron) moet dit geen probleem zijn.

Als output van je originele php script zet je gewoon een timer neer of een melding met de game server reboot over 60 seconden.

[MueR]

Prammenhanger schreef op dinsdag 29 maart 2005 @ 13:16:
Stond er in de httpd.conf van apache niet de user waarmee apache moet runnen? Als je die nu eens verandert?
_{anders was het de php.ini, 1 v/d 2}

Dan heb je apache draaien onder user 'ftd', maar dat is 1 gameserver. De overige servers kan je dan niet beheren.

jan-marten schreef op dinsdag 29 maart 2005 @ 13:20:
Via PHP de bestanden naar jezelf uploaden via FTP (PHP kan bestanden FTP'en). PHP kan dan inloggen op de eigen server onder een andere naam.

Via FTP kan je geen bash scripts draaien

[Wolfboy]

MueR schreef op dinsdag 29 maart 2005 @ 17:20:
[...]
Via FTP kan je geen bash scripts draaien

PHP:

exec('ssh user@server /home/user/script.sh');

En dan via een keyfile laten authenticeren.

[Soultaker]

Het probleem met bijna alle hier genoemde oplossingen (Apache draaien als root, ssh'en naar een andere user, enzovoorts) is dat je de webserver veel te veel macht geeft omdat je geen controle hebt over wat 'ie precies doet.

Ik denk dat de functionaliteit die sudo biedt precies is wat je nodig hebt, omdat je daarmee wel precies kunt aangeven welke commando's de webserver-gebruiker kan geven (een bepaald scriptje uitvoeren bijvoorbeeld).

Verder worden er een heleboel ingewikkelde oplossingen gegeven (met FTP en SSH, of met bestandjes and cronjobs); dat kan allemaal wel, maar het is veel praktisch en veiliger om een simpele aanpak te gebruiken. De gevolgen en risico's daarvan zijn veel beter te beheersen.