suexec.html.ja.euc-jp

Apache HTTP Server 是一个功能强大的灵活的与HTTP/1.1相兼容的web服务器.这里给出的是Apache HTTP服务器的源码。

        <p class="indent">
          呵井ユ〖ザ ID 戎规は肋年箕に回年されます。これは、
          CGI/SSI プログラム悸乖を钓材されるユ〖ザ ID
          のとりうる呵井猛です。これは
          "system" 脱のアカウントを誓め叫すのに铜跟です。
        </p>
      </li>

      <li>
        <strong>滦据となるグル〖プはス〖パ〖ユ〖ザのグル〖プでは
        <em>ない</em>か?</strong>

        <p class="indent">
         海のところ、suEXEC は 'root' グル〖プによる CGI/SSI
         プログラムの悸乖を钓材していません。
        </p>
      </li>

      <li>
        <strong>滦据となるグル〖プ ID は呵井の ID
          戎规よりも<em>络きい</em>か?</strong>

        <p class="indent">
          呵井グル〖プ ID 戎规は肋年箕に回年されます。これは、
          CGI/SSI プログラム悸乖を钓材されるグル〖プ
          ID のとりうる呵井猛です。
          これは "system" 脱のグル〖プを誓め叫すのに铜跟です。
        </p>
      </li>

      <li>
        <strong>wrapper が赖撅に滦据となるユ〖ザとグル〖プになれるか?
        </strong>

        <p class="indent">
          ここで、setuid と setgid
          の弹瓢によりプログラムは滦据となるユ〖ザとグル〖プになります。
          グル〖プアクセスリストは、
          ユ〖ザが掳しているすべてのグル〖プで介袋步されます。
        </p>
      </li>

      <li>
        <strong>CGI/SSI プログラムが弥かれているディレクトリに败瓢
        (change directory) できるか?</strong>

        <p class="indent">
          ディレクトリが赂哼しないなら、そのファイルも赂哼しないかもしれません。
          ディレクトリに败瓢できないのであれば、おそらく赂哼もしないでしょう。
        </p>
      </li>

      <li>
        <strong>ディレクトリが Apache のドキュメントツリ〖柒にあるか?
        </strong>

        <p class="indent">
          リクエストがサ〖バ柒のものであれば、
          妥滇されたディレクトリが suEXEC のドキュメントル〖ト芹布にありますか?
          リクエストが UserDir のものであれば、妥滇されたディレクトリが suEXEC 
          のユ〖ザのドキュメントル〖ト芹布にありますか?
          (<a href="#install">suEXEC 肋年オプション</a> 徊救)
        </p>
      </li>

      <li>
        <strong>ディレクトリを戮のユ〖ザが今き哈めるようになって
        <em>いない</em>か?</strong>

        <p class="indent">
          ディレクトリを戮ユ〖ザに倡庶しないようにします。
          疥铜ユ〖ザだけがこのディレクトリの柒推を猖恃できるようにします。
        </p>
      </li>


      <li>
        <strong>滦据となる CGI/SSI プログラムは赂哼するか?</strong>

        <p class="indent">
          赂哼しなければ悸乖できません。
        </p>
      </li>

      <li>
        <strong>滦据となる CGI/SSI プログラムファイルが戮アカウントから
        今き哈めるようになって<em>いない</em>か?</strong>

        <p class="indent">
          疥铜荚笆嘲には CGI/SSI プログラムを恃构する涪嘎は涂えられません。
        </p>
      </li>


      <li>
        <strong>滦据となる CGI/SSI プログラムが setuid または setgid 
        されて<em>いない</em>か?</strong>

        <p class="indent">
          UID/GID を浩刨恃构してのプログラム悸乖はしません
        </p>
      </li>


      <li>
        <strong>滦据となるユ〖ザ/グル〖プがプログラムの
        ユ〖ザ/グル〖プと票じか?</strong>

        <p class="indent">
          ユ〖ザがそのファイルの疥铜荚ですか?
        </p>
      </li>

      <li>
        <strong>奥链な瓢侯を瘦沮するための茨董恃眶クリアが材墙か?
        </strong>

        <p class="indent">
          suEXEC は、奥链な茨董恃眶のリスト
          (これらは肋年箕に侯喇されます) 柒の恃眶として畔される奥链な
          PATH 恃眶 (肋年箕に回年されます) を肋年することで、
          プロセスの茨董恃眶をクリアします。
        </p>
      </li>


      <li>
        <strong>滦据となる CGI/SSI プログラムを exec して悸乖できるか?</strong>


        <p class="indent">
          ここで suEXEC が姜位し、滦据となるプログラムが倡幌されます。
        </p>
      </li>
    </ol>

    <p>ここまでが suEXEC の wrapper
    におけるセキュリティモデルの筛洁弄な瓢侯です。もう警し阜脚に
    CGI/SSI 肋纷についての糠しい扩嘎や惮年を艰り掐れることもできますが、
    suEXEC はセキュリティに庙罢して康脚に警しずつ倡券されてきました。
    </p>

    <p>このセキュリティモデルを脱いて
    サ〖バ肋年箕にどのように钓すことを扩嘎するか、また、suEXEC
    を努磊に肋年するとどのようなセキュリティ惧の错副を闰けられるかに
    簇するより拒しい攫鼠については、<a href="#jabberwock">"とかげに庙罢"
    (Beware the Jabberwock)</a> の鞠を徊救してください。
    </p>
  </div><div class="top"><a href="#page-header"><img alt="top" src="./images/up.gif" /></a></div>
<div class="section">
<h2><a name="install" id="install">suEXEC
    の肋年とインスト〖ル</a></h2>

    <p>ここから弛しくなります。</p>

    <p><strong>suEXEC
    肋年オプション</strong><br />
    </p>

    <dl>
      <dt><code>--enable-suexec</code></dt>

      <dd>このオプションは、デフォルトではインスト〖ルされず、
      铜跟にはならない suEXEC 怠墙を铜跟にします。
      suEXEC を蝗うように APACI に妥滇するには、<code>--enable-suexec</code>
      オプションにあわせて警なくとも办つは <code>--with-suexec-xxxxx</code>
      オプションが回年されなければなりません。</dd>

      <dt><code>--with-suexec-bin=<em>PATH</em></code></dt>

      <dd>セキュリティ惧の妄统により、<code>suexec</code> バイナリのパスはサ〖バに
      ハ〖ドコ〖ドされている涩妥があります。デフォルトのパスを
      恃えたいときはこのオプションを蝗ってください。<em>毋えば</em>、
      <code>--with-suexec-bin=/usr/sbin/suexec</code> のように。</dd>

      <dt><code>--with-suexec-caller=<em>UID</em></code></dt>

      <dd>Apache を奶撅瓢侯させる<a href="mod/mpm_common.html#user">ユ〖ザ叹</a>を回年します。
      このユ〖ザだけが suexec の悸乖を钓材されたユ〖ザになります。</dd>

      <dt><code>--with-suexec-userdir=<em>DIR</em></code></dt>

      <dd>suEXEC がアクセスを钓されるユ〖ザホ〖ムディレクトリ芹布の
      サブディレクトリを回年します。
      このディレクトリ笆布の链悸乖ファイルは、"奥链な"プログラムになるよう、
      suEXEC がそのユ〖ザとして悸乖できるようにします。
      "帽姐な" UserDir ディレクティブを蝗っている眷圭 
      (すなわち "*" を崔まないもの)、これと票じ猛を肋年すべきです。
      Userdir ディレクティブがそのユ〖ザのパスワ〖ドファイル柒の
      ホ〖ムディレクトリと票じ眷疥を回していなければ、
      suEXEC は努磊に瓢侯しません。デフォルトは "public_html" です。
      <br />
      称 UserDir が佰なった簿鳞ホストを肋年している眷圭、
      それらを链て办つの科ディレクトリに崔めて、
      その科ディレクトリの叹涟をここで回年する涩妥があります。
      <strong>このように回年されなければ "~userdir" cgi
      へのリクエストが瓢侯しません。</strong></dd>

      <dt><code>--with-suexec-docroot=<em>DIR</em></code></dt>

      <dd>Apache のドキュメントル〖トを肋年します。これが suEXEC
      の瓢侯で蝗脱する停办のディレクトリ超霖になります (UserDir
      の回年は侍)。デフォルトでは <code>--datedir</code> に "/htdocs"
      というサフィックスをつけたものです。