昨天提到，當想在Web頁面上去呼叫一個需要root許可權的命令時，可以使用賦予指令碼suid許可權，並且交換euid和uid的方式來解決。但現在又遇到一個新問題，httpd伺服器與需執行的root許可權命令並不在一臺伺服器上。也就是說，需要從Web頁面上呼叫一個遠端伺服器上的需root許可權的系統命令。這可是一個讓人頭疼的問題。

一、系統架構
先看看兩臺伺服器的資訊：
引用 Web Server： 紅旗 Asianux 3.0，apache 2.0，IP：192.168.228.155
Gateway Server： 紅旗 DC Server 5.0，IP：192.168.228.153
我需要實現的，就是通過點選Web Server上的按鈕，然後執行一個CGI指令碼，該指令碼可以執行Gateway Server上的iptables命令。然後修改FORWARD表等防火牆資訊。
因iptables命令需要root許可權，問題就出來了。

二、解決過程

雖然問題看上去比較麻煩，實際上比suid許可權來得簡單。
我解決的思路是，既然要執行遠端的命令，那肯定是需要進行遠端登陸的。所以，我只要讓Web Server上的apache使用者可以遠端無密碼，以root使用者登陸到Gateway Server上，問題自然可以解決了。
1、嘗試
開始，我先在Web Server機器上，建立了其root使用者到Gateway Server的金鑰信任。有：
引用 # ssh 192.168.228.153
Last login: Tue Mar 17 18:22:33 2009 from 61.144.140.56
[[email protected] ~]#
然後，修改CGI指令碼：

my $HTML=qx(/usr/bin/ssh -l root 192.168.228.153 /sbin/iptables -L);
訪問頁面，報503錯誤。httpd後臺日誌報：
引用 [Fri Mar 19 21:21:44 2009] [error] [client 10.8.1.10] Could not create directory '/var/www/.ssh'.\r
[Fri Mar 19 21:21:44 2009] [error] [client 10.8.1.10] Host key verification failed.\r
當然，這是可以預見的。雖然root使用者做了金鑰信任，但httpd服務是以apache使用者執行的，所以沒有作用。
但這可以給我們一個提示，是否只要給apache使用者做金鑰信任就可以了？

2、給apache使用者做金鑰信任
先看看apache使用者的資訊：
引用 # su - apache
This account is currently not available.
# cat /etc/passwd|grep apache
apache:x:48:48:Apache:/var/www:/sbin/nologin
看來直接切換到apache使用者來做是不行了。做箇中轉吧。
◎ 建立一個臨時主目錄

# mkdir -p /home/apache
# chown apache.apache /home/apache/ -R
◎ 修改apache使用者的資訊
引用 # usermod -s /bin/bash -d /home/apache/ apache
# cat /etc/passwd|grep apache
apache:x:48:48:Apache:/home/apache/:/bin/bash
◎ 切換到apache使用者，並實現金鑰信任
建立金鑰：
引用 $ ssh-keygen -t rsa
Generating public/private rsa key pair.
Enter file in which to save the key (/home/apache//.ssh/id_rsa):
Created directory '/home/apache//.ssh'.
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/apache//.ssh/id_rsa.
Your public key has been saved in /home/apache//.ssh/id_rsa.pub.
The key fingerprint is:
94:16:24:6b:53:31:46:63:56:97:d4:0f:79:9c:2e:a3

[email protected]
拷貝公鑰：
引用 $ cat .ssh/id_rsa.pub |ssh -l root 192.168.228.153 'cat - >> /root/.ssh/authorized_keys'
RSA key fingerprint is 9a:f4:88:16:c7:4d:22:0b:b9:0a:47:ec:27:80:66:e6.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '192.168.228.153' (RSA) to the list of known hosts.
[email protected]'s password:
$
嘗試遠端登陸：
引用 $ ssh -l root 192.168.228.153
Last login: Wed Mar 18 16:04:52 2009 from rfgz.3322.org
[[email protected] ~]#
密碼信任建立成功。但我們還需要還原apache使用者的資訊，而其原主目錄是/var/www/，所以，需要拷貝證書到對應的路徑上。
◎ 拷貝證書
用apache使用者本身是不能進行的，需要以管理員操作：
引用 $ cp -a .ssh/ /var/www/
cp: 無法建立目錄 “/var/www/.ssh”: 許可權不夠
$ ll /var/www -d
drwxr-xr-x 11 root root 4096 12-01 18:44 /var/www
$ exit
# cd /home/apache/
# cp -a .ssh/ /var/www/
◎ 恢復apache使用者的主目錄

# usermod -d /var/www apache
◎ 再實施信任關係
引用 # su - apache
$ pwd
/var/www
$ ssh -l root 192.168.228.153
Last login: Wed Mar 18 16:06:49 2009 from 192.168.228.135
[[email protected] ~]#
至此，信任關係應該是做好了。

◎ 恢復apache使用者資訊，刪除臨時檔案
引用 $ exit
logout
# usermod -s /sbin/nologin apache
# rm -rf /home/apache/
3、重新嘗試執行遠端命令
CGI指令碼不需要修改，程式碼是：

#!/usr/bin/perl -w
use strict;
use CGI qw(:all);
use CGI::Carp qw(fatalsToBrowser);
print header (-charset=>"gb2312");

print scalar localtime();
my $HTML=qx(/usr/bin/ssh -l root 192.168.228.153 /sbin/iptables -L);
print "<br>",$HTML;

print "<br>End";
瀏覽器結果：

Gateway Server上的系統日誌顯示：
引用 Mar 18 16:31:35 printserver sshd[716]: Accepted publickey for root from 192.168.228.155 port 59779 ssh2
信任關係通過，遠端執行root許可權命令成功。

二、其他
1、用於解決本地問題
sshd是服務端、客戶端應用程式，完全可以把本地同時作為服務端和客戶端。也就是說，把apache使用者的id_rsa.pub拷貝到本地的root使用者下的~/.ssh/authorized_keys檔案中，即可解決Web上執行本地root許可權命令的問題。
2、安全
這是一說再說的問題了，root的許可權是非常大的，務必做好資訊輸入的安全檢查，防止漏洞。