程序博客网 > 淘宝护肤品店铺排行

OpenWrt系统安全改进<五> --- Web 访问权限分级

来源：互联网 发布：淘宝护肤品店铺排行 编辑：程序博客网 时间：2024/06/05 02:14

摘要

OpenWrt系统安全改进<四>中介绍的只是在UI层面对用户进行访问控制，对于深层次非法操作并不能起到保护效果。本节介绍针对不同的用户登录请求，使用不同用户启动luci进程，从而实现不同用户进行操作级别的访问控制。

机制分析

web页面操作涉及到uhttpd和luci两个模块，uhttpd处理http报文，将cgi请求转给luci处理。从代码实现就可以看出这两个模块目前只是针对单用户：

1 uhttpd在初始化时，由root用户启动，在调用cgi请求时，使用execl调用luci

2 luci的cache内容只保留一份。

在本实践中，创建admin（归为root用户组）和user两个用户，当uhttpd接收到登陆请求包，判断用户是否发生变化，如果是就清除luci的cache（否则luci会执行出错），使用su启动luci进程。

准备工作

创建用户和用户组，相关的脚本（可执行文件）针对不同用户组分配不同的权限。

（注意：busybox中的ash和sh需要能够被所有用户可以执行，我采用了两份busybox，ash/sh link到所有用户可执行的busybox，其他link到只有同组用户可执行的busybox）

使能busybox的su

使能web ui的多用户登陆

具体操作可以参见OpenWrt系统安全改进<一>

实现不同用户身份执行luci

[csharp] view plaincopyprint?在CODE上查看代码片派生到我的代码片
  1. --- a/uhttpd.c 
  2. +++ b/uhttpd.c 
  3. @@ -243,6 +243,64 @@ 
  4.         return bound; 
  5. } 
  6.  
  7. +#ifndef MULTI_USER 
  8. +extern void MU_dbg(char *info); 
  9. +void MU_dbg(char *info) 
  10. +{ 
  11. +    #if 0 
  12. +    int fd = open("/debug",O_RDWR|O_APPEND); 
  13. +    char buf[128] = {0}; 
  14. +    int len = strlen(info); 
  15. + 
  16. +    if (fd<0) { 
  17. +        fd = open("/debug",O_CREAT|O_RDWR); 
  18. +    } 
  19. + 
  20. +    memcpy(buf,info,len); 
  21. +    buf[len] = '\n'; 
  22. + 
  23. +    write(fd,buf,len+1); 
  24. +    close(fd); 
  25. +    #endif 
  26. +} 
  27. + 
  28. +static char CUR_USER[32] = {0}; 
  29. + 
  30. +extern void get_cur_user(char *user); 
  31. +void get_cur_user(char *user) { 
  32. +    if ( strlen(CUR_USER)==0 ) { 
  33. +        MU_dbg("CUR_USER empty"); 
  34. +        strcpy(user,"admin"); 
  35. +    } else { 
  36. +        memcpy(user,CUR_USER,strlen(CUR_USER)); 
  37. +    } 
  38. +} 
  39. + 
  40. +static void MU_get_user(conststruct client *cl, char *user) { 
  41. +    char *usrhead = cl->httpbuf.ptr; 
  42. +    char *pwdhead = strfind(usrhead,strlen(usrhead),"&password=",strlen("&password=")); 
  43. + 
  44. +    usrhead += strlen("username="); 
  45. +    memcpy( user, usrhead, pwdhead-usrhead ); 
  46. + 
  47. +    MU_dbg(user); 
  48. +} 
  49. + 
  50. +static void MU_clear_luci_cache() { 
  51. +    int ret = 0; 
  52. + 
  53. +    ret = system("echo clear cache > /tmp/luci_action"); 
  54. +    ret = system("rm -Rf /tmp/luci-*"); 
  55. +    if ( ret == -1 ) { 
  56. +        system("echo fail >> /debug"); 
  57. +    } else if ( ret==0 ) { 
  58. +        system("echo ignore >> /debug"); 
  59. +    } else { 
  60. +        system("echo finish >> /debug"); 
  61. +    } 
  62. +} 
  63. +#endif 
  64. + 
  65. static struct http_request * uh_http_header_parse(struct client *cl, 
  66.                                                                                 char *buffer, int buflen) 
  67. { 
  68. @@ -281,7 +339,21 @@ 
  69.                 if (method && !strcmp(method,"GET")) 
  70.                         req->method = UH_HTTP_MSG_GET; 
  71.                 else if (method && !strcmp(method, "POST")) 
  72. -                       req->method = UH_HTTP_MSG_POST; 
  73. +               #ifndef MULTI_USER 
  74. +        { 
  75. +            char user[32] = {0}; 
  76. + 
  77. +            MU_get_user(cl,user); 
  78. +            if( strncmp(user,CUR_USER,4)!=0 ) { 
  79. +                MU_clear_luci_cache(); 
  80. +            } 
  81. +            memcpy(CUR_USER,user,32); 
  82. + 
  83. +            req->method = UH_HTTP_MSG_POST; 
  84. +        } 
  85. +        #else 
  86. +            req->method = UH_HTTP_MSG_POST; 
  87. +        #endif 
  88.                 else if (method && !strcmp(method,"HEAD")) 
  89.                         req->method = UH_HTTP_MSG_HEAD; 
  90.                 else 
  91. --- a/uhttpd-cgi.c 
  92. +++ b/uhttpd-cgi.c 
  93. @@ -486,12 +486,32 @@ 
  94.                         if (chdir(pi->root)) 
  95.                                 perror("chdir()"); 
  96.  
  97. +            #ifndef MULTI_USER 
  98. +            { 
  99. +                extern void get_cur_user(char *user); 
  100. +                extern void MU_dbg(char *info); 
  101. + 
  102. +                char user[32] = {0}; 
  103. +                char info[32] = {0}; 
  104. + 
  105. +                get_cur_user(user); 
  106. + 
  107. +                sprintf(info,"exec via %s",user); 
  108. +                MU_dbg(info); 
  109. + 
  110. +                if (ip!=NULL) { 
  111. +                    execl("/bin/su","su",user,"-c",ip->path,pi->phys,NULL); 
  112. +                } else { 
  113. +                    execl("/bin/su","su",user,"-c",pi->phys,NULL); 
  114. +                } 
  115. +            } 
  116. +            #else 
  117.                         if (ip != NULL) 
  118. -                               execl(ip->path, ip->path, pi->phys, NULL); 
  119. -                       else 
  120. +                               execl(ip->path, ip->path, pi->phys, NULL); 
  121. +            else 
  122.                                 execl(pi->phys, pi->phys, NULL); 
  123. - 
  124. -                       /* in case it fails ... */ 
  125. +            #endif 
  126. +            /* in case it fails ... */ 
  127.                         printf("Status: 500 Internal Server Error\r\n\r\n" 
  128.                                    "Unable to launch the requested CGI program:\n" 
  129.                                    "  %s: %s\n", ip ? ip->path : pi->phys, strerror(errno)); 

实现admin执行UCI修改

完成上步操作后，使用不同用户登录可以根据用户执行LuCI，但是admin和user都只能查询UCI相关的一些配置，而我期望的admin能够修改配置。

经过一些尝试，发现仅仅为admin赋予uci的执行权限和相关配置文件的写权限扔不能执行UCI修改操作（uci set/commit）。

我希望修改的配置是通过UCI Map来进行修改的，修改usr/lib/lua/luci/cbi.lua文件的Map.set和Map.parse，使用su权限来执行uci set 和 commit。

后续工作

目前实现虽然支持了多用户的操作权限控制，但是对于用户切换时访问效率低，后续可以修改luci，针对每个用户创建一份cache。

0 0
淘宝护肤品店铺排行 淘宝护肤品店铺排行
原创粉丝点击
热门IT博客
数据新闻手册 中文版数据新闻手册 中文版
电脑软件设计师电脑软件设计师
淘宝怎么用版权投诉
数据置乱
下载ps修图软件
每日股市分析 知乎
sama图软件
linux 目录权限递归
中银淘宝校园卡注销
java 数据类型范围
3d打印编程软件
乐乎公寓官网
淘宝店怎么过户给熟人
xp与linux双系统
网络维护工作流程图
东风天锦配件淘宝
石头网络刷钻软件手机
元数据与大数据
mac如何u盘安装win7
windows defender xp
热门问题 老师的惩罚 人脸识别 我在镇武司摸鱼那些年 重生之率土为王 我在大康的咸鱼生活 盘龙之生命进化 天生仙种 凡人之先天五行 春回大明朝 姑娘不必设防，我是瞎子 绩效面谈 什么是绩效 工资绩效 管理绩效 绩效是什么意思 绩效考核方法 绩效工资怎么算 绩效考核方案 5种绩效考核方法 绩效考核表格大全 绩效结果包括 绩效管理六个步骤 员工绩效考核表范本图片 教师绩效工资 绩效工资可以随便扣吗 员工绩效考核 绩效考核周期 绩效工资计算公式 什么是绩效工资 绩效考核细则 绩效管理方法 员工绩效考核自我评价 员工绩效考核细则 绩效考核管理 个人绩效考核怎么写 绩效管理体系 绩效工资一般多少钱 工作绩效简短自我评价 卓越绩效评价准则试卷答案 关键绩效指标 绩效工资是什么意思 基本工资3300绩效工资能拿多少 在gbt19580中绩效结果包括 马尔基西奥为啥叫马绩效 4000基本工资6000绩效到手多少 根据gbt19580卓越绩效 4500基本工资1500绩效 绩溪县 安徽绩溪 绩溪旅游 绩溪论坛

程序博客网，程序员的互联网技术博客家园。csdn论坛精品 msdn技术资料都在这里