Параметр «--up» в OpenVPN обычно используется для маршрутизации и т. Д. И поэтому он обрабатывается до того, как OpenVPN отбрасывает привилегии root для запуска как никто. Тем не менее, я вызываю сценарии оболочки, которые должны запускаться как непривилегированный пользователь.

Как мне это сделать? Я изучил привилегии Drop Process , особенно ответы полинома и Тайлера, но я не понимаю, как это реализовать. Я работаю в Centos 6.5, и suid заблокирован как chmod u + s, так и setuid ().

Существует плагин OpenVPN ("openvpn-down-root.so"), который позволяет сценариям, вызываемым опцией "--down", запускаться от имени пользователя root. Может быть эквивалент, такой как "openvpn-up-user.so", но я не нашел его.

Edit0

Согласно ответу Николы Котура, я установил run-rpm Яна Мейера . Хотя команда chpst работает в терминале, в сценарии up она завершается с ошибкой «команда не найдена». Что работает, так это «sudo chpst» плюс установка правильного отображения и языка. Посмотрите, почему мой терминал не выводит символы Юникода должным образом? Учитывая это, сценарию up нужны эти четыре строки:

LANG="en_US.UTF-8"; export LANG
GDM_LANG="en_US.UTF-8"; export GDM_LANG
DISPLAY=:0; export DISPLAY
sudo chpst -u user -U user /home/user/unprivileged.sh &

Edit1

Согласно комментарию 0xC0000022L, я обнаружил, что «sudo -u user» работает так же, как «sudo chpst -u user -U user»:

LANG="en_US.UTF-8"; export LANG
GDM_LANG="en_US.UTF-8"; export GDM_LANG
DISPLAY=:0; export DISPLAY
sudo -u user /home/user/unprivileged.sh &

Я буду изучать человека sudoers и сообщу, если / когда я получу sudo на работу один.

Я использую runit «s chpstинструмент для таких задач , как это. Например, из сценария up вызовите свой непривилегированный сценарий:

chpst -u nobody /path/to/script

Покрытие только рунит и судо очень скучает. На самом деле существует целое семейство наборов инструментов, таких как runit, и широкий выбор инструментов для выполнения именно этого, той самой задачи, для которой они были разработаны:

• Daemontools Дэниела Дж. Бернштейна, имеет setuidgid:

  Пользователь setuidgid /home/user/unprivileged.sh

• Свобода Адама Сэмпсона имеет setuidgid:

  Пользователь setuidgid /home/user/unprivileged.sh

• Демон-выход на бис Брюса Гюнтера имеет setuidgid:

  Пользователь setuidgid /home/user/unprivileged.sh

• Рунит Геррита Папе имеет chpst:

  chpst -u пользователь /home/user/unprivileged.sh

• Подозреваемый Уэйна Маршалла имеет runuid:

  Пользователь runuid /home/user/unprivileged.sh

• S6 Лорана Берко имеет s6-setuidgid:

  s6-setuidgid user /home/user/unprivileged.sh

• моя ноша имеет setuidgid:

  Пользователь setuidgid /home/user/unprivileged.sh

Они не смешиваются в другой задаче добавления привилегий и никогда не переходят в интерактивный режим.

Ваши зацикленные проблемы - это нечто большее, чем то, что вы забыли иметь, sbinкак и binваши PATH, кстати.

дальнейшее чтение

• Джонатан де Бойн Поллард (2014). Не злоупотребляйте su за отказ от прав пользователя . Часто задаваемые ответы.

скрипт, который отбрасывает привилегии и запускает другой скрипт (но здесь я только что сделал это для запуска сам):

#!/bin/sh

id=`id -u`
safeuser="nobody"

if [ $id = "0" ]
then
         # we're root. dangerous!
        sudo -u $safeuser $0
else
    echo "I'm not root"
    id
fi

Пример:

root@n3:/tmp/x# id
uid=0(root) gid=0(root) группы=0(root)
root@n3:/tmp/x# ./drop.sh
I'm not root
uid=65534(nobody) gid=65534(nogroup) группы=65534(nogroup)

Как насчет:

sudo -Eu <user> <command>

Вы жаловались на среду в предыдущем комментарии, поэтому вы также можете сравнить различия между результатами:

sudo -u <user> printenv
sudo -Eu <user> printenv

В Linux вы можете использовать runuserили, setprivесли сеанс PAM не требуется (оба из util-linux):

runuser -u USER [--] COMMAND [ARGUMENTS...]

setpriv --reuid=1000 --regid=1000 --init-groups COMMAND [ARGUMENTS...]  # Like su/runuser/sudo
setpriv --reuid=1000 --regid=1000 --clear-groups COMMAND [ARGUMENTS...]  # Like daemontools setuid(8)

Со suстраницы руководства :

su в основном предназначен для непривилегированных пользователей, рекомендуемое решение для привилегированных пользователей (например, скрипты, выполняемые пользователем root) состоит в использовании команды runuser (1) не-set-user-ID , которая не требует аутентификации и обеспечивает отдельную конфигурацию PAM. Если сеанс PAM вообще не требуется, рекомендуется использовать команду setpriv (1) .