web-dev-qa-db-fra.com

Comment éviter d'utiliser Sudo lorsque vous travaillez dans / var / www?

Je ne veux plus avoir à utiliser Sudo chaque fois que je travaille dans /var/www. Comment puis je faire ça? Je veux simplement mettre tous mes sites dans ce répertoire et travailler avec eux sans trop de peine.

sudowebserver
168
TaylorOtwell

La plupart des réponses ne sont pas écrites dans un souci de sécurité. Il est bon de penser que lancer Sudoà chaque fois n’est pas très sage. Si vous faites une faute de frappe (par exemple, un seul espace blanc au mauvais endroit: Sudo rm -rf / var/www/dir n'exécutez pas! ), vous pourriez détruire votre système.

Remarque: Depuis Apache 2.4.7/Ubuntu 14.04, /var/www a été déplacé vers /var/www/html Ajustez les commandes de cette réponse en conséquence.

Voir:

Mauvaises idées:

  • chmod 777 (sagarchalise) - permet à toute personne ayant accès à votre système d'écrire dans les répertoires et les fichiers, permettant ainsi à l'intrus d'exécuter n'importe quel code sous l'utilisateur www-data
  • chgrp -R www-data $HOME (cob) - cela permet à www-data de lire ou d'écrire tous les fichiers du répertoire de base. Cela ne tient pas compte de la règle du moindre privilège
  • chown -R $USER:$USER /var/www (kv1dr) - à moins que le monde ne dispose d'autorisations de lecture sur /var/www, le serveur Web exécuté sous www-data ne sera pas en mesure de lire (servir) les fichiers. Si le fichier est un document HTML ordinaire accessible au public, le problème peut être résolu si le monde peut lire le fichier. Mais si le fichier est un fichier PHP contenant des mots de passe, c'est bien le cas.

NOTE: dans les solutions ci-dessous, j'ai accordé des privilèges d'écriture à www-data. Cependant, /usr/share/doc/base-passwd/users-and-groups.txt.gz indique:

www-data

Certains serveurs Web fonctionnent en tant que www-data. Le contenu Web ne doit pas appartenir à cet utilisateur, sinon un serveur Web compromis pourrait réécrire un site Web. Les données écrites par les serveurs Web seront la propriété de www-data.

Si possible, n'accordez pas des autorisations d'écriture au groupe www-data. www-data doit seulement être capable de lire les fichiers pour que le serveur Web puisse le servir. Le seul cas où www-data a besoin d'autorisations en écriture concerne les répertoires contenant les téléchargements et d'autres emplacements à écrire.

Solution 1

Ajoutez-vous au groupe www-data et définissez le bit setgid sur le répertoire /var/www de sorte que tous les fichiers nouvellement créés héritent également de ce groupe.

Sudo gpasswd -a "$USER" www-data

Corrigez les fichiers créés précédemment (en supposant que vous soyez le seul utilisateur de /var/www):

Sudo chown -R "$USER":www-data /var/www
find /var/www -type f -exec chmod 0660 {} \;
Sudo find /var/www -type d -exec chmod 2770 {} \;

(même plus sûr: utilisez 640 ou 2750 et manuellement chmod g+w file-or-dir qui doit être inscriptible par le serveur Web)

Solution 2

Créez un lien symbolique pour chaque projet vers votre répertoire personnel. Supposons que votre projet se trouve à ~/projects/foo et que vous souhaitez le placer à /var/www/foo, exécutez:

Sudo ln -sT ~/projects/foo /var/www/foo

Si votre répertoire personnel n’a pas de bit d’exécution (descendant) défini pour other(pour des raisons de sécurité), remplacez le groupe par www-data, mais définissez uniquement le bit d’exécution (pas de lecture/écriture). Faites de même pour le dossier ~/projects car il peut contenir d’autres projets que www. (Vous n'avez pas besoin de Sudosi vous avez déjà ajouté votre utilisateur au groupe www-data.)

Sudo chgrp www-data ~ ~/projects
chmod 710 ~ ~/projects

Définissez le groupe sur www-data sur ~/projects/foo et autorisez le serveur Web à lire et à écrire dans des fichiers et des fichiers + répertoires et à descendre dans les répertoires suivants:

Sudo chgrp www-data ~/projects/foo
find ~/projects/foo -type f -exec chmod 660 {} \;
find ~/projects/foo -type d -exec chmod 2770 {} \;

Encore plus sûr: utilisez 640 et 2750 par défaut et manuellement les fichiers et répertoires chmod devant être accessibles en écriture par l'utilisateur du serveur Web. Le bit setgid ne doit être ajouté que si vous souhaitez que chaque fichier nouvellement créé dans ~/projects/foo soit accessible au groupe.

À partir de maintenant, vous pouvez accéder à votre site à l'adresse http://localhost/foo et modifier vos fichiers de projet au ~/projects/foo.

Voir également

242
Lekensteyn

Plutôt que de stocker mes sites Web dans/var/www, j'y place des liens vers les sites situés dans mon dossier personnel. Je peux librement modifier ou ajouter des pages sur mes sites. Lorsque les modifications me conviennent, je fais alors un transfert FTP vers une société d’hébergement où mon nom de domaine est lié.

9
fragos

Si vous faites en sorte que/var/www soit inscriptible par son groupe et que vous vous ajoutiez au groupe, vous ne serez pas obligé d'utiliser Sudo tout en restant assez sécurisé. Essaye ça:

Sudo adduser <username> www-data
Sudo chown -R www-data:www-data /var/www
Sudo chmod -R g+rw /var/www

Vous devriez alors pouvoir éditer les fichiers /var/www/ sans tracas.

La première ligne vous ajoute au groupe www-data, la seconde efface tous les fichiers dont la propriété est gâchée et la troisième permet à tous les utilisateurs membres du groupe www-data de lire et d'écrire tous les fichiers dans /var/www.

7
Azendale

C'est aussi simple que ça. Vous n'avez pas besoin d'activer Apache 'UserDir' (non recommandé) ni de vous mêler aux groupes 'www-data' (groupe Apache dans le cas de Fedora)

Créez simplement votre répertoire de projet dans /var/www/html

cd /var/www/html
Sudo mkdir my_project

Ensuite, envoyez simplement le répertoire du projet à votre utilisateur.

Sudo chown your_username my_project

Vous pouvez maintenant commencer à travailler sur votre dossier de projet en tant qu'utilisateur normal avec n'importe quel éditeur, IDE de votre choix. Pas plus sudos:)

5
Gayan Weerakutti

À ne pas faire

  • Ne définissez pas les autorisations de fichier sur 777 (accessible en écriture)

    Il s'agit d'une faille de sécurité importante, en particulier si vous activez les scripts côté serveur tels que PHP. Les processus non privilégiés ne devraient pas être en mesure d'écrire dans des fichiers susceptibles d'affecter le site Web ou, en cas d'utilisation de scripts côté serveur, d'exécuter du code arbitraire.

  • Ne vous ajoutez pas en tant que membre du groupe www-data et accordez-lui des autorisations d'écriture

    Le but de ce groupe est qu’il s’agisse d’un groupe non privilégié que le serveur traite courir comme. Ils devraient uniquement avoir un accès en lecture aux fichiers du site Web, dans la mesure du possible, pour les mêmes raisons que ci-dessus.

  • Ne changez pas les permissions des processus Apache

    Les processus enfants Apache s'exécutent par défaut en tant qu'utilisateur et groupe www-data, ce qui ne devrait pas être modifié. C'est juste une façon de leur donner aucune permission d'écriture sur le système de fichiers.

    Dans certaines circonstances, vous souhaitez que vos scripts côté serveur puissent écrire dans des fichiers. Dans ce cas, uniquement , ces fichiers doivent pouvoir être insérés en écriture avec www-data. doit être pris pour assurer la sécurité.

Dos

  • Définissez les fichiers comme appartenant à vous-même

    Si vous êtes le seul, ou le plus habituel, à modifier certains fichiers sur le site Web, il est alors tout à fait logique de prendre en charge ces fichiers. Définissez leur propriétaire sur <your username>.

    Vous n'avez pas à modifier les autorisations du serveur pour cela, car le serveur continuera à avoir un accès en lecture seule, même lorsque les fichiers vous appartiennent.

  • Choisissez un emplacement judicieux pour stocker les fichiers (utilisez DocumentRoot )

    Si /var/www n'a pas de sens, vous pouvez les placer ailleurs. S'ils sont spécifiques à votre propre développement ou test, vous pouvez les placer dans votre répertoire personnel. Ou vous pouvez configurer certains répertoires dans /srv.

  • Si vous voulez donner un accès en écriture au groupe , créez un nouveau groupe pour le but

    Ne réutilisez pas un groupe de systèmes, car ceux-ci sont généralement conçus pour avoir l'accès qu'ils ont actuellement, et pas plus, pour des raisons de sécurité.

5
thomasrutter

chmod dans/var sur www pour autoriser l'accès du propriétaire, et chown pour s'assurer que vous le possédez. Probablement une idée stupide, mais cela fonctionnerait certainement.

2
Daniel

Vous pouvez démarrer une session www dans un terminal en

Sudo su www-data

Combiné avec une invite * de couleur différente, il est plus évident que c’est le shell d’un utilisateur différent et une stratégie qui consiste à toujours mettre le xterm correspondant (et son éditeur, etc.) - par exemple - le bureau virtuel 4, de sorte que vous vous y habituez, pour éviter toute confusion.

*) Pour une invite de couleur différente avec un caractère différent, créez un fichier/etc/Prompt comme ceci:

# PROMPTING
#       When  executing  interactively, bash displays the primary Prompt PS1 when it is ready to read a command, and the sec-
#       ondary Prompt PS2 when it needs more input to complete a command.  Bash allows these Prompt strings to be  customized
#       by inserting a number of backslash-escaped special characters that are decoded as follows:
#              \a     an ASCII bell character (07)
#              \d     the date in "Weekday Month Date" format (e.g., "Tue May 26")
#              \D{format}
#                     the  format is passed to strftime(3) and the result is inserted into the Prompt string; an empty format
#                     results in a locale-specific time representation.  The braces are required
#              \e     an ASCII escape character (033)
#              \h     the hostname up to the first `.'
#              \H     the hostname
#              \j     the number of jobs currently managed by the Shell
#              \l     the basename of the Shell's terminal device name
#              \n     newline
#              \r     carriage return
#              \s     the name of the Shell, the basename of $0 (the portion following the final slash)
#              \t     the current time in 24-hour HH:MM:SS format
#              \T     the current time in 12-hour HH:MM:SS format
#              \@     the current time in 12-hour am/pm format
#              \A     the current time in 24-hour HH:MM format
#              \u     the username of the current user
#              \v     the version of bash (e.g., 2.00)
#              \V     the release of bash, version + patchelvel (e.g., 2.00.0)
#              \w     the current working directory
#              \W     the basename of the current working directory
#              \!     the history number of this command
#              \#     the command number of this command
#              \$     if the effective UID is 0, a #, otherwise a $
#              \nnn   the character corresponding to the octal number nnn
#              \\     a backslash
#              \[     begin a sequence of non-printing characters, which could be used to embed a terminal  control  sequence
#                     into the Prompt
#              \]     end a sequence of non-printing characters
#
#       The  command  number and the history number are usually different: the history number of a command is its position in
#       the history list, which may include commands restored from the history file (see HISTORY below),  while  the  command
#       number  is  the  position in the sequence of commands executed during the current Shell session.  After the string is
#
# colors:
# \[...\]   wird benötigt, damit die Shell weiß, daß hier kein printable output ist, und die Umbrüche richtig plaziert.
#
# ANSI COLORS
CRE="\[
[K\]"
NORMAL="\[[0;39m\]"
# RED: Failure or error message
RED="\[[1;31m\]"
# GREEN: Success message
GREEN="\[[1;32m\]"
# YELLOW: Descriptions
YELLOW="\[[1;33m\]"
# BLUE: System messages
BLUE="\[[1;34m\]"
# Magenta: Found devices or drivers
Magenta="\[[1;35m\]"
# CYAN: Questions
CYAN="\[[1;36m\]"
# BOLD WHITE: Hint
WHITE="\[[1;37m\]"
#
# default:
# postgres, Oracle, www-data
#
# PS1=$BLUE"machine]->"$NORMAL\\w"$BLUE ø $NORMAL"
PS1=$BLUE"machine]:"$NORMAL\\w"$BLUE > $NORMAL"
#
# root, stefan:
#
case "$UID" in
    '0')
        PS1=$RED"machine:"$NORMAL\\w"$RED # $NORMAL"
    ;;
    '1000')
    PS1=$GREEN"machine:"$BLUE\\w$YELLOW" > "$NORMAL
    ;;
#    default)
#    ;;
esac

et le source de /etc/bash.bashrc par exemple.

En tant qu'outil supplémentaire pour vous aider à distinguer, vous pouvez toujours éditer vos fichiers avec un alias "edit" ou un lien symbolique, ce qui pointe, selon votre identité (taylor/www-data) sur gedit ou mousepad, vim ou pico. Vous pouvez également utiliser différents profils d’éditeur. Par exemple, dans gedit, vous pouvez définir vos préférences en texte noir sur fond blanc ou en blanc sur fond noir.

J'ai une telle politique pour travailler en tant que root, donc je ne sais pas à quel point cela conviendra pour travailler avec www-data. Combiné avec ssh-sessions à différents hôtes, qui ont leurs propres invites, cela ne m'a pas empêché de me tromper parfois, mais si cela se produit, je me rends vite compte de ce qui ne va pas et cela arrive rarement.

remarque: Le script Prompt est en partie une copie de la page de manuel de bash.

1
user unknown