[Sécurité] Script PHP qui utilise la fonction ADDUSER sous Debian !

**The_revival** · 12/01/2006, 11h13

Bonjour a tous,

Je dois faire une interface web, similaire a Webin, c'est à dire donner la possibilité à une personne novice sous Debian de créer des utilisateurs, de configuruer SAMBA, le serveur DHCP et DNS, etc.

Pour bien commencer, je vais prendre comme début : Ajout / Suppression d'utilisateurs.

Je pensais faire quelque chose en PHP : formulaire avec les champs à remplir (nom, prénom, login, mot de passe, etc) puis en validant, le script créé la commande avec quelque chose comme exec(adduser).

Qu'en pensez-vous ?

Merci

**Kioob** · 12/01/2006, 11h34

Hello,

cela pose de gros problèmes de sécurité : pour pouvoir ajouter des utilisateurs, configurer samba, bind, etc il faut avoir les droits root.

Donc en gros :
1) PHP ne doit pas etre en SAFE_MODE pour pouvoir executer tout et n'importe quoi
2) PHP doit avoir les droit root pour pouvoir executer ces programmes et modifier les éventuels fichiers de configuration...
3) Si PHP tourne en ROOT, Apache aussi...

Bref, tu transformes ta machine en bombe à retardement...

--------------------------------------

Perso je procède ainsi :
1) j'ai un démon en PHP "cli" (donc sans apache) qui tourne en root
2) les scripts PHP de l'interface d'administration dialoguent uniquement avec ce démon, et n'envoyent que des commandes du genre "refresh DNS"
3) quand le démon reçoit un "refresh", c'est lui qui analyse la base de données et determine s'il doit executer des shell ou non

**The_revival** · 12/01/2006, 11h57

Comment fonctionne Webmin alors

:

Je ne pense pas, vu la progression de ce soft, que les machines soient des troues de sécurité sur patte, si ?

**Kioob** · 12/01/2006, 12h09

Webmin a son propre processus qui tourne en root (si ma mémoire est bonne) et fait tourner son propre serveur web sur un port spécifique.

Quant à Plesk, il fait tourner un deuxième Apache sur un port spécifique, et avec un user particulier. Il ne tourne pas en root, mais je suppose qu'il repose sur une panoplie de scripts exécutés en root.

Tu peux aussi regarder du coté de VHCS, mais il y a de très grandes chances pour qu'il repose sur un système similaire.

=> si tu n'as pas un minimum de connaissances là dedans, peut être devrais tu plutot utiliser un script existant, ou au moins regarder comment ils procèdent.

**The_revival** · 15/01/2006, 17h04

Finalement, j'utilise SUDO et je donne à www-data la possibilité de créer des users etc.

Pour information, l'application web est protégée par un .htaccess et n'est accessible qu'en local

Il s'agit d'un projet pour l'école donc pour apprendre et le prof nous explique les failles de sécurité que l'on peut créer donc ce n'est une appli web que je met en place pour n'importe qui