PHP 透過 Sudo 執行 root 指令

一直以來要用 PHP 以root 身份執行系統管理工作的問題，就是 PHP 會以apache 的身份執行，解決方法有安裝 suPHP 或 super 這類工具，但個人認為還是Sudo 較為安全。首先要安裝 Sudo，據我所知 RHEL, Ubuntu 已經內置，Debian 只要用 apt-get 安裝就可以，以下是 FreeBSD 的安裝方法:BSD爱好者乐园c} u0b ~fD{-~*NS

sK9| OFkFreeBSD 安裝 SudoBSD爱好者乐园,yaT gN i
# cd /usr/ports/security/sudoBSD爱好者乐园+J5T;i6|M0@8L
A%w x
# make && make installBSD爱好者乐园| u/ J~%O/ah.y

_ B^:hTJ-W當系統有 Sudo 後，基於安全理由，不要直接編輯組態檔 /etc/sudoers，改用 visudo 來做編輯。visudo 為防止多個使用者同時修改，它會先鎖住 /etc/sudoers，並且確保組態檔的文法正確，一旦發現錯誤會拒絕儲存動作。
cxm c:v1j
$tYP,{ I YT假如你的 Apache 的執行身份為 apache，而想透過 PHP 重新啟動 DNS server，用 root 輸入指令 visudo，便會用 vi 開啟 /etc/sudoers，在檔案最底加上以下一行:
0N'{ y-sv.iTc+zBSD爱好者乐园3hzmk5_3yg'NS
apache ALL=NOPASSWD:/etc/rc.d/init.d/namedBSD爱好者乐园o]5cNJ A0bR7K:BkYY
BSD爱好者乐园6o5c4Fki[kH2N#`A
儲存後可以在 PHP 以 root 身份執行 /etc/rc.d/init.d/named，包括開啟、停止及重新啟動:
I-zg|3mi'SkBSD爱好者乐园 h|)v0^,V+C5U#]
PHP:
S7NTN1jj,wIQb8N<?phpBSD爱好者乐园mP9mm E3|#a(h
// 開啟 named
)b I UxM$output = shell_exec("/usr/bin/sudo /etc/rc.d/init.d/named start");
/h
VT*[+J{ R decho $output;BSD爱好者乐园3EZ]q)X&}(ab q!d
?>BSD爱好者乐园^$|R j[
上面的 /usr/bin/sudo 是 sudo 的可執行檔，需要根據自己的安裝目錄進行修改。以上只是個簡單的例子，你可以根據你的需要執行其他管理動作，但如果 web server 是多人共用，那麼在使用 Sudo 時要加倍小心。

 

我的用法：

s1000 系统 asterisk  用户  添加执行 可执行的命令：

1》su asterisk

2》sudo -l  (列举asterisk  用户可执行的命令)

3》su root

4》visudo   例如 添加 可执行 sh  命令可执行脚本    asterisk ALL = NOPASSWD: /bin/sh

    具体语法格式：  ## Allows members of the users group to shutdown this system
  # %users  localhost=/sbin/shutdown -h now

      asterisk ALL = NOPASSWD: /sbin/shutdown
      asterisk ALL = NOPASSWD: /usr/bin/nmap
      asterisk ALL = NOPASSWD: /usr/bin/yum
      asterisk ALL = NOPASSWD: /bin/touch
      asterisk ALL = NOPASSWD: /bin/chmod
      asterisk ALL = NOPASSWD: /bin/chown
      asterisk ALL = NOPASSWD: /sbin/service
      asterisk ALL = NOPASSWD: /sbin/init
      asterisk ALL = NOPASSWD: /sbin/route
      asterisk ALL = NOPASSWD: /bin/hostname
      asterisk ALL = NOPASSWD: /usr/sbin/postmap
      asterisk ALL = NOPASSWD: /usr/sbin/postfix
      asterisk ALL = NOPASSWD: /usr/sbin/saslpasswd2
      asterisk ALL = NOPASSWD: /bin/date
      uucp     ALL = NOPASSWD: /bin/chmod
      asterisk ALL = NOPASSWD: /usr/sbin/genzaptelconf
      asterisk ALL = NOPASSWD: /sbin/chkconfig
      asterisk ALL = NOPASSWD: /bin/mount
      asterisk ALL = NOPASSWD: /bin/umount
      asterisk ALL = NOPASSWD: /bin/cp
      asterisk ALL = NOPASSWD: /bin/sh
      asterisk ALL = NOPASSWD: /bin/rm

 

 

 asterisk之中使用： exec("sudo -u root chmod 757 $this->dirHylafaxConf");
             exec("sudo -u root chmod 646 $archivoHylafax");

            exec("sudo -u root service iaxmodem restart");
             exec("sudo -u root service hylafax restart");
             exec("sudo -u root init q");

             exec("sudo -u root saslpasswd2 -d $username@".SASL_DOMAIN);