Администрирование сервера: запуск команд от имени других пользователей средствами PHP

Расширенные примеры и детальные пояснения

1. Полный цикл настройки sudoers с проверками в PHP

// /etc/sudoers.d/php-restart
www-data ALL=(ALL) NOPASSWD: /usr/bin/systemctl *

Пример PHP-функции с проверкой кода возврата и экранированием:

<?php
function runSudoCommand(string $command): string {
    $sudo = '/usr/bin/sudo';
    $fullCmd = escapeshellcmd($sudo . ' ' . $command);
    exec($fullCmd, $output, $ret);
    if ($ret !== 0) {
        throw new RuntimeException('Command failed with code ' . $ret);
    }
    return implode("\n", $output);
}

try {
    echo runSudoCommand('/usr/bin/systemctl status nginx');
} catch (Exception $e) {
    echo 'Ошибка: ' . $e->getMessage();
}
?>

● nginx.service - The NGINX HTTP and reverse proxy server
   Loaded: loaded (/lib/systemd/system/nginx.service; enabled; vendor preset: enabled)
   Active: active (running) since Mon 2025-03-24 10:00:00 UTC; 1h ago

Важно: шаблон /usr/bin/systemctl * в sudoers разрешает любую подкоманду. Для строгой безопасности укажите конкретные аргументы: /usr/bin/systemctl restart nginx, /usr/bin/systemctl status nginx и т.д.

2. Использование proc_open с sudo и захватом STDERR

$descriptorspec = array(
    0 => array('pipe', 'r'),
    1 => array('pipe', 'w'),
    2 => array('pipe', 'w')  // STDERR
);
$process = proc_open('sudo -k -S /usr/sbin/iptables -L -n 2>&1', $descriptorspec, $pipes);
if (is_resource($process)) {
    // Если требуется пароль (не рекомендуется), передаём его:
    // fwrite($pipes[0], "password\n");
    fclose($pipes[0]);
    $stdout = stream_get_contents($pipes[1]);
    fclose($pipes[1]);
    $stderr = stream_get_contents($pipes[2]);
    fclose($pipes[2]);
    proc_close($process);
    echo "STDOUT:\n$stdout";
    echo "STDERR:\n$stderr";
}

STDOUT:
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
...
STDERR:
(пусто, если пароль не затребован)

Примечание: флаг -k сбрасывает кэшированные учётные данные sudo. Вместе с -S позволяет ввести пароль через STDIN.

3. Ограничение sudoers для конкретных аргументов и пользователей

# Разрешить www-data выполнять только 'restart' и 'status' для apache2
www-data ALL=(root) NOPASSWD: /usr/bin/systemctl restart apache2, /usr/bin/systemctl status apache2

Пример PHP с проверкой аргументов на стороне скрипта (дополнительная защита):

$allowed = ['restart', 'status'];
$action = $_GET['action'] ?? '';
if (!in_array($action, $allowed, true)) {
    die('Недопустимое действие');
}
exec('/usr/bin/sudo /usr/bin/systemctl ' . escapeshellarg($action) . ' apache2', $out);
print_r($out);

Array
(
    [0] => ● apache2.service - The Apache HTTP Server
       Loaded: loaded (/lib/systemd/system/apache2.service; enabled; vendor preset: enabled)
       Active: active (running) since Mon 2025-03-24 10:00:00 UTC; 2h ago
)

4. Использование setuid-программы с параметрами (более гибкий вариант)

Создадим C-программу, принимающую аргумент:

// run_as_root.c
#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>
#include <string.h>

int main(int argc, char *argv[]) {
    if (argc < 2) {
        fprintf(stderr, "Usage: %s <command>\n", argv[0]);
        return 1;
    }
    setuid(0);
    // Простейшая защита: разрешаем только известные команды
    char *allowed[] = {"systemctl", "reboot", NULL};
    int ok = 0;
    for (int i = 0; allowed[i] != NULL; i++) {
        if (strcmp(argv[1], allowed[i]) == 0) { ok = 1; break; }
    }
    if (!ok) {
        fprintf(stderr, "Command not allowed\n");
        return 1;
    }
    // Выполняем команду с аргументами (argv[2] и далее)
    execvp(argv[1], &argv[1]);
    perror("execvp");
    return 1;
}

gcc -o /usr/local/bin/run_as_root run_as_root.c
sudo chown root:root /usr/local/bin/run_as_root
sudo chmod u+s /usr/local/bin/run_as_root

PHP-вызов:

exec('/usr/local/bin/run_as_root systemctl restart apache2', $out);

Результат: команда выполняется от root без sudo. Проблема: потенциальные уязвимости при неправильной проверке аргументов.

5. Асинхронное выполнение с записью в файл и cron

// PHP записывает команду в файл-очередь
$task = '/usr/bin/systemctl restart mysql';
file_put_contents('/var/spool/system-queue/commands.txt', $task . PHP_EOL, FILE_APPEND);

В crontab (от root) задание, которое каждую минуту проверяет файл:

* * * * * /usr/local/bin/process-queue.sh

#!/bin/bash
QUEUE=/var/spool/system-queue/commands.txt
if [ -s "$QUEUE" ]; then
    head -1 "$QUEUE" | while read cmd; do
        eval $cmd
    done
    sed -i '1d' "$QUEUE"
fi

Проблемы: гонки при одновременном доступе, задержка до минуты, отсутствие обратной связи.