루트 또는 sudoer가 아닌 다른 사용자로 시작한 프로세스를 종료하는 방법은 무엇입니까?

Linux 환경에서 sudoers가 아니거나 root를 사용하지 않고 user1 인 경우 user2가 시작한 프로세스를 종료해야합니다. 프로세스를 시작할 때 설정하는 방법이 있는지 알고 있습니까? 프로세스를 죽일 수있는 사용자 목록과 같은?

사실 동일한 프로세스의 동시 인스턴스를 다른 사용자로부터 시작할 수 있으므로 그룹 ID를 프로세스로 설정하는 것이 편리하지 않습니다. 그룹에 속하지 않은 다른 사용자는 두 번째 병렬 프로세스를 시작할 수 없습니다.

내가 가진 것은 프로세스를 시작하기 전에 데이터베이스에 정의 된 프로세스를 시작할 수있는 사용자 목록입니다. 목록에서 현재 사용자를 확인하고, 그렇다면 현재 사용자로 프로세스를 시작합니다. 두 번째 사용자가 프로세스를 종료하고 싶을 경우 프로세스를 종료하고 싶지만 sudoers가되기를 원하지 않습니다.

따라서 사용자로부터 프로세스 종료 요청을 수신하고 사용자가 프로세스를 시작 / 중지 할 수 있는지 확인하고 프로세스를 종료시키는 루트로 실행중인 프로세스를 작성하려고했습니다.

그것이 최선의 해결책이라고 생각하십니까?

미안하지만 이것은 불가능합니다 (디자인에 의한 것입니다). 그러나 공통 그룹의 구성원 인 경우 user1은 user2의 프로세스가 확인하는 파일에 쓸 수있어 프로세스에 종료해야 함을 나타냅니다.

또는 user2는 백그라운드에서 파일을 확인한 다음 적절한 신호를 보내는 무언가를 실행할 수 있습니다. 그런 다음 User1은 해당 파일에 쓰기 만하면됩니다. user2의 프로그램을 수정하지 않아도되므로 더 쉬울 수 있습니다.

일반적으로, user1은 POSIX 신호를 user2의 프로세스로 보낼 수 없습니다.

ACL이나 SELinux 또는 그 밖의 다른 방법으로 더 나은 방법이 없다면 SetUID 스크립트를 사용하는 것입니다. 아시다시피 보안 위험 요소로 악명이 높습니다.

귀하의 사례와 관련하여 procOwner는 프로세스 소유자의 사용자 이름이고 userA (uid 1000), userB (uid 1201) 및 userC (uid 1450)는 프로세스를 종료 할 수있는 사용자라고 가정하십시오.

killmyproc.bash :

#!/bin/bash
case ${UID} in
1000|1201|1450) ;;
*) echo "You are not allowed to kill the process."
   exit 1;;
esac

kill ${PROCESS_ID}
# PROCESS_ID could also be stored somewhere in /var/run.

그런 다음 소유자와 권한을 다음과 같이 설정하십시오.

chown procOwner:procGroup killmyproc.bash
chmod 6750 killmyproc.bash

또한 userA, userB 및 userC를 그룹에 넣습니다 procGroup.

일반적으로 사용자가 다른 사람의 프로세스를 가져 와서 죽이게하는 것은 궁극적 인 서비스 거부 취약점입니다.

대상 프로세스가 협력하면 수행 할 수 있습니다. 한 가지 방법은 외부 이벤트 (/ var / tmp에서 생성 된 파일 또는 소켓의 메시지와 같은)를 모니터하여 자체 종료를 지시하는 것입니다. 이를 작성하기 위해 작성할 수없는 경우,이를 시작하고 모니터링을 수행하여 이벤트가 발생하면 하위 프로세스를 종료하는 랩퍼를 작성할 수 있습니다.

아냐, 못해

다른 사용자와 프로세스를 공유하려면 공통 사용자 ID로 프로세스를 시작해야합니다.

물론 특정 사용자 (목록)로부터 특정 신호 (POSIX 신호가 아닌 "사전 결정된 이벤트"를 의미하기 위해 느슨하게 사용되는 용어)를 수신 할 때 프로그램이 정상적으로 종료되도록 프로그램을 작성할 수 있습니다.

특정 그룹의 사용자 만 실행할 수 있고 프로세스에 적절한 신호를 보내는 suid 프로그램을 작성할 수 있습니다. 그래도 suid를 제외하려고했는지 확실하지 않습니다.

suid bit는 bash 스크립트에서 작동하지 않습니다. imho, 가장 좋은 방법은 래퍼 스크립트 "killservice"를 작성하는 것입니다. 서비스가 사용자 serviceuser로 실행되고 있다고 가정하십시오.

#!/bin/bash
sudo -u serviceuser /usr/bin/killserviceworker

그때

# addgroup servicekiller
# chown root:servicekiller /usr/bin/killservice
# chmod 750 /usr/bin/killservice
# adduser bob servicekiller

그런 다음 비밀번호를 묻지 않고 / usr / bin / killserviceworker를 사용자 serviceuser로 실행할 수 있도록 / etc / sudoers에 규칙을 추가하기 만하면됩니다.

servicekiller        ALL = (serviceuser:serviceuser) NOPASSWD: /usr/bin/killserviceworker

killserviceworker는 다음과 같습니다.

#!/bin/bash
kill ${cat /run/service.pid}