Хотя 80 и 443 являются системными портами, как большинство веб-серверов в любом случае могут связываться с ними?
Запуск веб-службы, которая привязывается к порту 80, обычно не требует привилегий sudoer. Поскольку порты 80/443 являются системными портами, то есть они могут использоваться только привилегированными пользователями, почему эти службы все еще могут связываться с этими портами?
2 ответа
Есть два основных подхода:
Сначала запустите запуск с правами суперпользователя, выполните привязку к привилегированному порту, а затем перейдите к непривилегированному пользователю.
inetd, или xinetd, запускается с привилегиями и перенаправляет запросы на веб-сервер, работающий без привилегий.
Поскольку порт 80/443 является системным портом, то есть он может использоваться только привилегированными пользователями.
Я думаю, ты ошибаешься. Любой может использовать эти порты. Привязка к ним является привилегированной операцией.
Обоснование здесь заключается в том, что какой-то пользователь Джо не сможет написать вредоносный веб-сервер, а затем создать хост, на котором у него нет никаких административных прав. Конечно, это довольно слабая модель, обычно ничто не мешает Джо подключить свой компьютер к сети, и он может иметь административные права на любой компьютер, к которому у него есть физический доступ.
Я сделаю демонстрацию с Netcat.
Как обычный пользователь, я не могу привязаться к порту 80:
$ nc -l -p 80
Can't grab 0.0.0.0:80 with bind : Permission denied
Я могу привязать к порту 8080:
$ nc -l -p 8080
Тем временем в другом терминале я могу подключиться к порту 80 и отправить некоторые данные, и увидеть, что они появляются на стороне сервера, которую я только что начал:
$ nc 127.0.0.1 8080 <<<"Hello world"
Если я хочу привязать к порту 80, мне нужно быть пользователем root:
$ sudo nc -l -p 80
Или я могу назначить CAP_NET_BIND_SERVICE способность к nc двоичная:
$ cp `which nc` .
$ sudo setcap 'cap_net_bind_service=+ep' ./nc
$ ./nc -l -p 80
Другой вариант - написать серверную программу так, чтобы после ее вызова listen() это отбрасывает привилегии root. Это довольно распространенное решение, и вы увидите его с большинством демонов. Apache, например, запускается из init как root, а затем отбрасывает привилегии root и становится пользователем www-data или что-то подобное, когда он привязан к порту 80. Попробуйте запустить /etc/init.d/apache start как не root и Apache, вероятно, не запустится.