私は、Web servertheとLinuxボックスが2つの実行中のサービスがある持って

Question

ウェブスクリプトからiptablesのルールを操作する方法：

1. Webプロキシ（リッスンポート80、443）
2. Apacheを
（ポート8080をリッスンします）

プロキシユーザーは、Webインターフェイス経由で登録できます。特定のIPを持つ登録クライアントにのみ、プロキシへのアクセス権を与える必要があります。プロキシは手書きのスクリプトで、iptablesを使用してアクセスをブロックする必要があります。私は以下の規則を書いた：

iptables -A INPUT -p tcp -m multiport --dports 80,443 -s <valid IP 1> -j ACCEPT 
iptables -A INPUT -p tcp -m multiport --dports 80,443 -s <valid IP 2> -j ACCEPT 
... 
iptables -A INPUT -p tcp -m multiport --dports 80,443 -s <valid IP n> -j ACCEPT 
iptables -A INPUT -p tcp -m multiport --dports 80,443 -j DROP 

それは働く。しかし、新しいユーザーがWebインターフェイス経由で追加されると、Apacheはroot以外のユーザーとしてスクリプトを起動します。そして私はiptablesをrootとして実行しなければなりません。

I can't set suid bit for a program, written in a scripting language、私はCプログラムupdater.c作成：

#include <stdlib.h> 
#include <stdio.h> 

int main(int argc, char* argv[]) 
{ 
    int result = system("iptables -L"); 
    printf("\nresult=%i", result); 
    return 0; 
} 

をそれから私はそれをコンパイル：

# gcc -o updater ./updater.c 
# chmod +s ./updater 

私はシェル内に、権限のないユーザーとして、それを実行すると、それが正常に動作します：版画すべてのiptablesルール。

シェルスクリプト内でプログラムを呼び出すと、Webから実行すると何も印刷されません。実際、このCプログラムの中にファイルを作成しようとしたとき、それはowner = rootで作成されました。 system("ls -l");も動作します - ディレクトリリストを出力します。

ウェブスクリプトからiptablesのルールを操作するにはどうすればよいですか？

Answer 1

system("iptables -L");に電話すると、PATH環境変数に応じて、iptablesが表示される場合と表示されない場合があります。あなたはそれを見つけることがわかっているように、あなたはバイナリがある場所へのパスを付加する必要があります

int result = system("/sbin/iptables -L");