手机版
你好,游客 登录 注册
背景:
阅读新闻

用mod_chroot在OpenSUSE上启动Apache2

[日期:2010-07-14] 来源:IT168  作者:林惠菊 [字体: ]

  本篇介绍了如何在OpenSUSE 11.2系统中为Apache2安装mod_chroot模块。使用mod_chroot模块,可以让Apache2运行在安全的chroot环境下,从而让你的服务器在面对系统漏洞攻击和利用Web应用程序入侵时更具抵抗力。

  准备工作

  假定你电脑上装有OpenSUSE11.2系统,并且Apache2在此环境中可以正常工作。本教程使用的系统环境为:OpenSUSE 11.2 x86_64 [ISPConfig 2]。另外你还需要在/srv/www路径下建立1个或者多个站点。

  1. 安装mod_chroot

  OpenSUSE11.2中没有mod_chroot包,因此我们必须要自己生成一个。首先要安装一些准备内容,如下代码所示:

  yast2 -i libgcc glibc-devel gcc flex lynx compat-readline4 db-devel wget gcc-c++ make vim

  yast2 -i apache2-devel

  2. 接下来按照以下命令来生成mod_chroot:

  cd /tmp

  wget http://core.segfault.pl/~hobbit/mod_chroot/dist/mod_chroot-0.5.tar.gz

  tar xvfz mod_chroot-0.5.tar.gz

  cd mod_chroot-0.5

  apxs2 -cia mod_chroot.c

  3. 然后重启Apache:

  /etc/init.d/apache2 restart

配置Apache

  设定/srv/www为chroot jail的存储路径。OpenSUSE系统中的Apache使用/var/run/http2.pid路径下的PID文件;当apache服务器chroot到/srv/www目录,/var/run/httpd2.pid会被理解为 /srv/www/var/run/httpd2.pid。用以下命令来创建目录:

  mkdir -p /srv/www/var/run

  chown -R root:www /srv/www/var/run

  现在我们必须先告诉Apache,使用/srv/www目录作为chroot目录。首先打开/etc/apache2/httpd.conf,在该文件的Include/etc/apache2/sysconfig.d/loadmodule.conf 行下面添加一行:ChrootDir /srv/www;在字段下面的Options None注释掉,添加一行:Options +FollowSymLinks。步骤如下所示:

         //打开httpd.conf  

        vi /etc/apache2/httpd.conf

       //打开httpd.conf 文件后,文件内容如下:

  [...]

  # generated from APACHE_MODULES in /etc/sysconfig/apache2

  Include /etc/apache2/sysconfig.d/loadmodule.conf

  ChrootDir /srv/www

  [...]

  # forbid access to the entire filesystem by default

  #Options None

  Options +FollowSymLinks

  AllowOverride None

  Order deny,allow

  Deny from all

  [...]

  接下来要告诉vhost:文档目录被修改了(举个例子来说,将DocumentRoot/srv/www改为DocumentRoot/).我们也可以通过修改每个vhost的DocumentRoot指示,更简单的方式是创建一个文件符号链接。

创建符号链接两种方式

  第一种方式:改变文档根目录(DocumentRoot)

  我们假设我们有一个使用/srv/www做为vhost的文档根目录。我们必须打开vhost的配置文件,然后将文档根目录由/srv/www改为/。于是,目录/srv/www/web1/web就会被理解为/web1/web等。如果你想使用这种方法,那么你必须更改所有vhost的文档根目录。

  第二种方式:创建一个系统文件符号链接

  这种方式很简单,因为你只需要修改一次,而且不需要修改vhos所有的t配置文件。你只需要在/srv/www/srv/www 和 /srv/www之间建立一个符号链接。

  mkdir -p /srv/www/srv

  cd /srv/www/srv

  ln -s ../ www

  最后,停止Apache,在/var/run/httpd2.pid 和 /srv/www/var/run/httpd2.pid之间建立一个符号链接后在再启动Apache,命令如下所示:

  /etc/init.d/apache2 stop

  ln -sf /srv/www/var/run/httpd2.pid /var/run/httpd2.pid

  /etc/init.d/apache2 start

  这样就完成了,你可以和之前一样浏览网页,只要你浏览的页面是静态的html文件或者使用mod_php·应该都没有问题了。 

  如果你使用CGI,比如suPHP,Ruby,etc.,那么你必须复制解释器(e.g. /usr/bin/perl, /usr/sbin/suphp, etc.)和解释器需要的库文件到chroot jail中。你可以使用Idd命令找到解释器需要的所有库文件。

  ldd /usr/sbin/suphp

  server2:/var/www/web1/log# ldd /usr/sbin/suphp

  linux-gate.so.1 => (0xffffe000)

  libstdc++.so.6 => /usr/lib/libstdc++.so.6 (0xb7e34000)

  libm.so.6 => /lib/tls/i686/cmov/libm.so.6 (0xb7e0f000)

  libgcc_s.so.1 => /lib/libgcc_s.so.1 (0xb7e03000)

  libc.so.6 => /lib/tls/i686/cmov/libc.so.6 (0xb7cd2000)

  /lib/ld-linux.so.2 (0xb7f23000)

  server2:/var/www/web1/log#

  如果你拷贝了所有需要的文件后,网页还不能打开的话,你该查看下Apache 日志。日志常常会告诉我们浏览器哪里出错了。同时,你也可以阅读http://core.segfault.pl/~hobbit/mod_chroot/caveats.html 上面的FAQ。

linux
本文评论   查看全部评论 (0)
表情: 表情 姓名: 字数

       

评论声明
  • 尊重网上道德,遵守中华人民共和国的各项有关法律法规
  • 承担一切因您的行为而直接或间接导致的民事或刑事法律责任
  • 本站管理人员有权保留或删除其管辖留言中的任意内容
  • 本站有权在网站内转载或引用您的评论
  • 参与本评论即表明您已经阅读并接受上述条款