FreeBSD ਵਿੱਚ ਲਾਜ਼ਮੀ ਅਧਿਕਾਰ ਵੰਡ ਮਾਡਲ

ਜਾਣ ਪਛਾਣ

ਸਰਵਰ ਸੁਰੱਖਿਆ ਦਾ ਇੱਕ ਵਾਧੂ ਪੱਧਰ ਪ੍ਰਦਾਨ ਕਰਨ ਲਈ, ਤੁਸੀਂ ਵਰਤ ਸਕਦੇ ਹੋ ਹੁਕਮ ਮਾਡਲ ਪਹੁੰਚ ਵੰਡ. ਇਹ ਪ੍ਰਕਾਸ਼ਨ ਇਹ ਵਰਣਨ ਕਰੇਗਾ ਕਿ ਤੁਸੀਂ ਜੇਲ੍ਹ ਵਿੱਚ ਅਪਾਚੇ ਨੂੰ ਸਿਰਫ਼ ਉਹਨਾਂ ਹਿੱਸਿਆਂ ਤੱਕ ਪਹੁੰਚ ਨਾਲ ਕਿਵੇਂ ਚਲਾ ਸਕਦੇ ਹੋ ਜਿਨ੍ਹਾਂ ਨੂੰ ਸਹੀ ਢੰਗ ਨਾਲ ਕੰਮ ਕਰਨ ਲਈ apache ਅਤੇ php ਲਈ ਪਹੁੰਚ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ। ਇਸ ਸਿਧਾਂਤ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ, ਤੁਸੀਂ ਨਾ ਸਿਰਫ ਅਪਾਚੇ, ਬਲਕਿ ਕਿਸੇ ਹੋਰ ਸਟੈਕ ਨੂੰ ਵੀ ਸੀਮਿਤ ਕਰ ਸਕਦੇ ਹੋ।

ਸਿਖਲਾਈ

ਇਹ ਵਿਧੀ ਕੇਵਲ ufs ਫਾਈਲ ਸਿਸਟਮ ਲਈ ਢੁਕਵੀਂ ਹੈ; ਇਸ ਉਦਾਹਰਨ ਵਿੱਚ, zfs ਨੂੰ ਕ੍ਰਮਵਾਰ ਮੁੱਖ ਸਿਸਟਮ ਵਿੱਚ ਅਤੇ ufs ਨੂੰ ਜੇਲ੍ਹ ਵਿੱਚ ਵਰਤਿਆ ਜਾਵੇਗਾ। ਪਹਿਲਾ ਕਦਮ ਕਰਨਲ ਨੂੰ ਦੁਬਾਰਾ ਬਣਾਉਣਾ ਹੈ; ਜਦੋਂ ਫ੍ਰੀਬੀਐਸਡੀ ਨੂੰ ਸਥਾਪਿਤ ਕਰਦੇ ਹੋ, ਸਰੋਤ ਕੋਡ ਨੂੰ ਸਥਾਪਿਤ ਕਰੋ।
ਸਿਸਟਮ ਸਥਾਪਿਤ ਹੋਣ ਤੋਂ ਬਾਅਦ, ਫਾਈਲ ਨੂੰ ਸੰਪਾਦਿਤ ਕਰੋ:

/usr/src/sys/amd64/conf/GENERIC

ਤੁਹਾਨੂੰ ਇਸ ਫਾਈਲ ਵਿੱਚ ਸਿਰਫ਼ ਇੱਕ ਲਾਈਨ ਜੋੜਨ ਦੀ ਲੋੜ ਹੈ:

options     MAC_MLS

ਐਮਐਲਐਸ/ਉੱਚ ਲੇਬਲ ਦੀ ਐਮਐਲਐਸ/ਲੋਅ ਲੇਬਲ ਉੱਤੇ ਇੱਕ ਪ੍ਰਭਾਵੀ ਸਥਿਤੀ ਹੋਵੇਗੀ, ਐਮਐਲਐਸ/ਲੋਅ ਲੇਬਲ ਨਾਲ ਲਾਂਚ ਕੀਤੀਆਂ ਐਪਲੀਕੇਸ਼ਨਾਂ ਐਮਐਲਐਸ/ਹਾਈ ਲੇਬਲ ਵਾਲੀਆਂ ਫਾਈਲਾਂ ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਦੇ ਯੋਗ ਨਹੀਂ ਹੋਣਗੀਆਂ। FreeBSD ਸਿਸਟਮ ਵਿੱਚ ਉਪਲਬਧ ਸਾਰੇ ਟੈਗਾਂ ਬਾਰੇ ਵਧੇਰੇ ਵੇਰਵੇ ਇਸ ਵਿੱਚ ਮਿਲ ਸਕਦੇ ਹਨ ਲੀਡਰਸ਼ਿਪ.
ਅੱਗੇ, /usr/src ਡਾਇਰੈਕਟਰੀ 'ਤੇ ਜਾਓ:

cd /usr/src

ਕਰਨਲ ਬਣਾਉਣਾ ਸ਼ੁਰੂ ਕਰਨ ਲਈ, ਚਲਾਓ (j ਕੁੰਜੀ ਵਿੱਚ, ਸਿਸਟਮ ਵਿੱਚ ਕੋਰਾਂ ਦੀ ਗਿਣਤੀ ਦਿਓ):

make -j 4 buildkernel KERNCONF=GENERIC

ਕਰਨਲ ਨੂੰ ਕੰਪਾਇਲ ਕੀਤੇ ਜਾਣ ਤੋਂ ਬਾਅਦ, ਇਸਨੂੰ ਇੰਸਟਾਲ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ:

make installkernel KERNCONF=GENERIC

ਕਰਨਲ ਨੂੰ ਇੰਸਟਾਲ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਸਿਸਟਮ ਨੂੰ ਰੀਬੂਟ ਕਰਨ ਲਈ ਕਾਹਲੀ ਨਾ ਕਰੋ, ਕਿਉਂਕਿ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਲੌਗਿਨ ਕਲਾਸ ਵਿੱਚ ਟ੍ਰਾਂਸਫਰ ਕਰਨਾ ਜ਼ਰੂਰੀ ਹੈ, ਪਹਿਲਾਂ ਇਸਨੂੰ ਸੰਰਚਿਤ ਕੀਤਾ ਹੋਇਆ ਹੈ। /etc/login.conf ਫਾਈਲ ਨੂੰ ਸੰਪਾਦਿਤ ਕਰੋ, ਇਸ ਫਾਈਲ ਵਿੱਚ ਤੁਹਾਨੂੰ ਡਿਫਾਲਟ ਲਾਗਇਨ ਕਲਾਸ ਨੂੰ ਸੰਪਾਦਿਤ ਕਰਨ ਦੀ ਲੋੜ ਹੈ, ਇਸਨੂੰ ਫਾਰਮ ਵਿੱਚ ਲਿਆਓ:

default:
        :passwd_format=sha512:
        :copyright=/etc/COPYRIGHT:
        :welcome=/etc/motd:
        :setenv=MAIL=/var/mail/$,BLOCKSIZE=K:
        :path=/sbin /bin /usr/sbin /usr/bin /usr/local/sbin /usr/local/bin ~/bin:
        :nologin=/var/run/nologin:
        :cputime=unlimited:
        :datasize=unlimited:
        :stacksize=unlimited:
        :memorylocked=64K:
        :memoryuse=unlimited:
        :filesize=unlimited:
        :coredumpsize=unlimited:
        :openfiles=unlimited:
        :maxproc=unlimited:
        :sbsize=unlimited:
        :vmemoryuse=unlimited:
        :swapuse=unlimited:
        :pseudoterminals=unlimited:
        :kqueues=unlimited:
        :umtxp=unlimited:
        :priority=0:
        :ignoretime@:
        :umask=022:
        :label=mls/equal:

ਲਾਈਨ :label=mls/equal ਉਹਨਾਂ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਉਹਨਾਂ ਫਾਈਲਾਂ ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਦੀ ਆਗਿਆ ਦੇਵੇਗੀ ਜੋ ਇਸ ਕਲਾਸ ਦੇ ਮੈਂਬਰ ਹਨ ਕਿਸੇ ਵੀ ਲੇਬਲ (mls/low, mls/high) ਨਾਲ ਚਿੰਨ੍ਹਿਤ ਕੀਤੀਆਂ ਗਈਆਂ ਹਨ। ਇਹਨਾਂ ਹੇਰਾਫੇਰੀਆਂ ਦੇ ਬਾਅਦ, ਤੁਹਾਨੂੰ ਡੇਟਾਬੇਸ ਨੂੰ ਦੁਬਾਰਾ ਬਣਾਉਣ ਅਤੇ ਰੂਟ ਉਪਭੋਗਤਾ (ਨਾਲ ਹੀ ਉਹਨਾਂ ਨੂੰ ਵੀ ਜਿਨ੍ਹਾਂ ਨੂੰ ਇਸਦੀ ਲੋੜ ਹੈ) ਨੂੰ ਇਸ ਲੌਗਇਨ ਕਲਾਸ ਵਿੱਚ ਰੱਖਣ ਦੀ ਲੋੜ ਹੈ:

cap_mkdb /etc/login.conf
pw usermod root -L default

ਨੀਤੀ ਨੂੰ ਸਿਰਫ਼ ਫਾਈਲਾਂ 'ਤੇ ਲਾਗੂ ਕਰਨ ਲਈ, ਤੁਹਾਨੂੰ /etc/mac.conf ਫਾਈਲ ਨੂੰ ਸੰਪਾਦਿਤ ਕਰਨ ਦੀ ਲੋੜ ਹੈ, ਇਸ ਵਿੱਚ ਸਿਰਫ਼ ਇੱਕ ਲਾਈਨ ਛੱਡ ਕੇ:

default_labels file ?mls

ਤੁਹਾਨੂੰ ਆਟੋਰਨ ਲਈ mac_mls.ko ਮੋਡੀਊਲ ਵੀ ਜੋੜਨ ਦੀ ਲੋੜ ਹੈ:

echo 'mac_mls_load="YES"' >> /boot/loader.conf

ਇਸ ਤੋਂ ਬਾਅਦ, ਤੁਸੀਂ ਸਿਸਟਮ ਨੂੰ ਸੁਰੱਖਿਅਤ ਢੰਗ ਨਾਲ ਰੀਬੂਟ ਕਰ ਸਕਦੇ ਹੋ। ਕਿਵੇਂ ਬਣਾਉਣਾ ਹੈ ਜੇਲ੍ਹ ਤੁਸੀਂ ਇਸਨੂੰ ਮੇਰੇ ਪ੍ਰਕਾਸ਼ਨਾਂ ਵਿੱਚੋਂ ਇੱਕ ਵਿੱਚ ਪੜ੍ਹ ਸਕਦੇ ਹੋ। ਪਰ ਜੇਲ ਬਣਾਉਣ ਤੋਂ ਪਹਿਲਾਂ, ਤੁਹਾਨੂੰ ਇੱਕ ਹਾਰਡ ਡਰਾਈਵ ਜੋੜਨ ਅਤੇ ਇਸ ਉੱਤੇ ਇੱਕ ਫਾਈਲ ਸਿਸਟਮ ਬਣਾਉਣ ਅਤੇ ਇਸ ਉੱਤੇ ਮਲਟੀਲੇਬਲ ਨੂੰ ਸਮਰੱਥ ਬਣਾਉਣ ਦੀ ਲੋੜ ਹੈ, 2kb ਦੇ ਕਲੱਸਟਰ ਆਕਾਰ ਦੇ ਨਾਲ ਇੱਕ ufs64 ਫਾਈਲ ਸਿਸਟਮ ਬਣਾਓ:

newfs -O 2 -b 64kb /dev/ada1
tunefs -l enable /dev/ada1

ਫਾਈਲ ਸਿਸਟਮ ਬਣਾਉਣ ਅਤੇ ਮਲਟੀਲੇਬਲ ਜੋੜਨ ਤੋਂ ਬਾਅਦ, ਤੁਹਾਨੂੰ ਹਾਰਡ ਡਰਾਈਵ ਨੂੰ /etc/fstab ਵਿੱਚ ਜੋੜਨ ਦੀ ਲੋੜ ਹੈ, ਇਸ ਫਾਈਲ ਵਿੱਚ ਲਾਈਨ ਜੋੜੋ:

/dev/ada1               /jail  ufs     rw              0       1

ਮਾਊਂਟਪੁਆਇੰਟ ਵਿੱਚ, ਉਹ ਡਾਇਰੈਕਟਰੀ ਦਿਓ ਜਿਸ ਵਿੱਚ ਤੁਸੀਂ ਹਾਰਡ ਡਰਾਈਵ ਨੂੰ ਮਾਊਂਟ ਕਰੋਗੇ; ਪਾਸ ਵਿੱਚ, 1 ਨੂੰ ਨਿਸ਼ਚਿਤ ਕਰਨਾ ਯਕੀਨੀ ਬਣਾਓ (ਇਸ ਹਾਰਡ ਡਰਾਈਵ ਨੂੰ ਕਿਸ ਕ੍ਰਮ ਵਿੱਚ ਚੈੱਕ ਕੀਤਾ ਜਾਵੇਗਾ) - ਇਹ ਜ਼ਰੂਰੀ ਹੈ, ਕਿਉਂਕਿ ufs ਫਾਈਲ ਸਿਸਟਮ ਅਚਾਨਕ ਪਾਵਰ ਕੱਟਾਂ ਲਈ ਸੰਵੇਦਨਸ਼ੀਲ ਹੈ। . ਇਹਨਾਂ ਕਦਮਾਂ ਤੋਂ ਬਾਅਦ, ਡਿਸਕ ਨੂੰ ਮਾਊਂਟ ਕਰੋ:

mount /dev/ada1 /jail

ਇਸ ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਜੇਲ੍ਹ ਸਥਾਪਿਤ ਕਰੋ। ਜੇਲ ਚੱਲਣ ਤੋਂ ਬਾਅਦ, ਤੁਹਾਨੂੰ ਇਸ ਵਿੱਚ ਉਹੀ ਹੇਰਾਫੇਰੀ ਕਰਨ ਦੀ ਲੋੜ ਹੈ ਜਿਵੇਂ ਕਿ ਉਪਭੋਗਤਾਵਾਂ ਅਤੇ ਫਾਈਲਾਂ /etc/login.conf, /etc/mac.conf ਨਾਲ ਮੁੱਖ ਸਿਸਟਮ ਵਿੱਚ।

ਵਿਵਸਥਾ

ਲੋੜੀਂਦੇ ਟੈਗਸ ਨੂੰ ਸਥਾਪਿਤ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ, ਮੈਂ ਸਾਰੇ ਲੋੜੀਂਦੇ ਪੈਕੇਜਾਂ ਨੂੰ ਸਥਾਪਿਤ ਕਰਨ ਦੀ ਸਿਫਾਰਸ਼ ਕਰਦਾ ਹਾਂ; ਮੇਰੇ ਕੇਸ ਵਿੱਚ, ਇਹਨਾਂ ਪੈਕੇਜਾਂ ਨੂੰ ਧਿਆਨ ਵਿੱਚ ਰੱਖਦੇ ਹੋਏ ਟੈਗ ਸੈੱਟ ਕੀਤੇ ਜਾਣਗੇ:

mod_php73-7.3.4_1              PHP Scripting Language
php73-7.3.4_1                  PHP Scripting Language
php73-ctype-7.3.4_1            The ctype shared extension for php
php73-curl-7.3.4_1             The curl shared extension for php
php73-dom-7.3.4_1              The dom shared extension for php
php73-extensions-1.0           "meta-port" to install PHP extensions
php73-filter-7.3.4_1           The filter shared extension for php
php73-gd-7.3.4_1               The gd shared extension for php
php73-gettext-7.3.4_1          The gettext shared extension for php
php73-hash-7.3.4_1             The hash shared extension for php
php73-iconv-7.3.4_1            The iconv shared extension for php
php73-json-7.3.4_1             The json shared extension for php
php73-mysqli-7.3.4_1           The mysqli shared extension for php
php73-opcache-7.3.4_1          The opcache shared extension for php
php73-openssl-7.3.4_1          The openssl shared extension for php
php73-pdo-7.3.4_1              The pdo shared extension for php
php73-pdo_sqlite-7.3.4_1       The pdo_sqlite shared extension for php
php73-phar-7.3.4_1             The phar shared extension for php
php73-posix-7.3.4_1            The posix shared extension for php
php73-session-7.3.4_1          The session shared extension for php
php73-simplexml-7.3.4_1        The simplexml shared extension for php
php73-sqlite3-7.3.4_1          The sqlite3 shared extension for php
php73-tokenizer-7.3.4_1        The tokenizer shared extension for php
php73-xml-7.3.4_1              The xml shared extension for php
php73-xmlreader-7.3.4_1        The xmlreader shared extension for php
php73-xmlrpc-7.3.4_1           The xmlrpc shared extension for php
php73-xmlwriter-7.3.4_1        The xmlwriter shared extension for php
php73-xsl-7.3.4_1              The xsl shared extension for php
php73-zip-7.3.4_1              The zip shared extension for php
php73-zlib-7.3.4_1             The zlib shared extension for php
apache24-2.4.39 

ਇਸ ਉਦਾਹਰਨ ਵਿੱਚ, ਇਹਨਾਂ ਪੈਕੇਜਾਂ ਦੀ ਨਿਰਭਰਤਾ ਨੂੰ ਧਿਆਨ ਵਿੱਚ ਰੱਖਦੇ ਹੋਏ ਲੇਬਲ ਸੈੱਟ ਕੀਤੇ ਜਾਣਗੇ। ਬੇਸ਼ੱਕ, ਤੁਸੀਂ ਇਸਨੂੰ ਸੌਖਾ ਕਰ ਸਕਦੇ ਹੋ: /usr/local/lib ਫੋਲਡਰ ਅਤੇ ਇਸ ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਸਥਿਤ ਫਾਈਲਾਂ ਲਈ, mls/low ਲੇਬਲ ਸੈੱਟ ਕਰੋ ਅਤੇ ਬਾਅਦ ਵਿੱਚ ਇੰਸਟਾਲ ਕੀਤੇ ਪੈਕੇਜ (ਉਦਾਹਰਨ ਲਈ, php ਲਈ ਵਾਧੂ ਐਕਸਟੈਂਸ਼ਨਾਂ) ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਦੇ ਯੋਗ ਹੋਣਗੇ। ਇਸ ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਲਾਇਬ੍ਰੇਰੀਆਂ ਹਨ, ਪਰ ਇਹ ਮੇਰੇ ਲਈ ਸਿਰਫ਼ ਉਹਨਾਂ ਫਾਈਲਾਂ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਦਾਨ ਕਰਨਾ ਬਿਹਤਰ ਲੱਗਦਾ ਹੈ ਜੋ ਜ਼ਰੂਰੀ ਹਨ। ਜੇਲ੍ਹ ਬੰਦ ਕਰੋ ਅਤੇ ਸਾਰੀਆਂ ਫਾਈਲਾਂ 'ਤੇ ਐਮਐਲਐਸ/ਹਾਈ ਲੇਬਲ ਸੈਟ ਕਰੋ:

setfmac -R mls/high /jail

ਮਾਰਕ ਸੈਟ ਕਰਦੇ ਸਮੇਂ, ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਰੋਕ ਦਿੱਤਾ ਜਾਵੇਗਾ ਜੇਕਰ setfmac ਹਾਰਡ ਲਿੰਕਾਂ ਦਾ ਸਾਹਮਣਾ ਕਰਦਾ ਹੈ, ਮੇਰੀ ਉਦਾਹਰਣ ਵਿੱਚ ਮੈਂ ਹੇਠ ਲਿਖੀਆਂ ਡਾਇਰੈਕਟਰੀਆਂ ਵਿੱਚ ਹਾਰਡ ਲਿੰਕਾਂ ਨੂੰ ਮਿਟਾ ਦਿੱਤਾ ਹੈ:

/var/db/etcupdate/current/
/var/db/etcupdate/current/etc
/var/db/etcupdate/current/usr/share/openssl/man/en.ISO8859-15
/var/db/etcupdate/current/usr/share/man/en.ISO8859-15
/var/db/etcupdate/current/usr/share/man/en.UTF-8
/var/db/etcupdate/current/usr/share/nls
/etc/ssl
/usr/local/etc
/usr/local/etc/fonts/conf.d
/usr/local/openssl

ਲੇਬਲ ਸੈਟ ਕੀਤੇ ਜਾਣ ਤੋਂ ਬਾਅਦ, ਤੁਹਾਨੂੰ ਅਪਾਚੇ ਲਈ mls/ਘੱਟ ਲੇਬਲ ਸੈਟ ਕਰਨ ਦੀ ਜ਼ਰੂਰਤ ਹੈ, ਸਭ ਤੋਂ ਪਹਿਲਾਂ ਤੁਹਾਨੂੰ ਇਹ ਪਤਾ ਕਰਨਾ ਹੈ ਕਿ ਅਪਾਚੇ ਨੂੰ ਸ਼ੁਰੂ ਕਰਨ ਲਈ ਕਿਹੜੀਆਂ ਫਾਈਲਾਂ ਦੀ ਲੋੜ ਹੈ:

ldd /usr/local/sbin/httpd

ਇਸ ਕਮਾਂਡ ਨੂੰ ਲਾਗੂ ਕਰਨ ਤੋਂ ਬਾਅਦ, ਨਿਰਭਰਤਾਵਾਂ ਸਕ੍ਰੀਨ 'ਤੇ ਪ੍ਰਦਰਸ਼ਿਤ ਕੀਤੀਆਂ ਜਾਣਗੀਆਂ, ਪਰ ਇਹਨਾਂ ਫਾਈਲਾਂ 'ਤੇ ਲੋੜੀਂਦੇ ਲੇਬਲ ਸੈੱਟ ਕਰਨਾ ਕਾਫ਼ੀ ਨਹੀਂ ਹੋਵੇਗਾ, ਕਿਉਂਕਿ ਡਾਇਰੈਕਟਰੀਆਂ ਜਿਨ੍ਹਾਂ ਵਿੱਚ ਇਹ ਫਾਈਲਾਂ ਸਥਿਤ ਹਨ ਉਹਨਾਂ ਵਿੱਚ mls/high ਲੇਬਲ ਹੈ, ਇਸ ਲਈ ਇਹਨਾਂ ਡਾਇਰੈਕਟਰੀਆਂ ਨੂੰ ਵੀ ਲੇਬਲ ਕਰਨ ਦੀ ਲੋੜ ਹੈ। mls/ਘੱਟ. ਸ਼ੁਰੂ ਕਰਨ ਵੇਲੇ, apache ਉਹਨਾਂ ਫਾਈਲਾਂ ਨੂੰ ਵੀ ਆਉਟਪੁੱਟ ਕਰੇਗਾ ਜੋ ਇਸਨੂੰ ਚਲਾਉਣ ਲਈ ਜ਼ਰੂਰੀ ਹਨ, ਅਤੇ php ਲਈ ਇਹ ਨਿਰਭਰਤਾ httpd-error.log ਲੌਗ ਵਿੱਚ ਲੱਭੀ ਜਾ ਸਕਦੀ ਹੈ।

setfmac mls/low /
setfmac mls/low /usr/local/lib/libpcre.so.1
setfmac mls/low /usr/local/lib/libaprutil-1.so.0
setfmac mls/low /usr/local/lib/libdb-5.3.so.0
setfmac mls/low /usr/local/lib/libgdbm.so.6
setfmac mls/low /usr/local/lib/libexpat.so.1
setfmac mls/low /usr/local/lib/libapr-1.so.0
setfmac mls/low /lib/libcrypt.so.5
setfmac mls/low /lib/libthr.so.3
setfmac mls/low /lib/libc.so.7
setfmac mls/low /usr/local/lib/libintl.so.8
setfmac mls/low /var
setfmac mls/low /var/run
setfmac mls/low /var/log
setfmac mls/low /var/log/httpd-access.log
setfmac mls/low /var/log/httpd-error.log
setfmac mls/low /var/run/httpd.pid
setfmac mls/low /lib
setfmac mls/low /lib/libcrypt.so.5
setfmac mls/low /usr/local/lib/db5/libdb-5.3.so.0
setfmac mls/low /usr/local/lib/db5/libdb-5.3.so.0.0.0
setfmac mls/low /usr/local/lib/db5
setfmac mls/low /usr/local/lib
setfmac mls/low /libexec
setfmac mls/low /libexec/ld-elf.so.1
setfmac  mls/low /dev
setfmac  mls/low /dev/random
setfmac  mls/low /usr/local/libexec
setfmac  mls/low /usr/local/libexec/apache24
setfmac  mls/low /usr/local/libexec/apache24/*
setfmac  mls/low /etc/pwd.db
setfmac  mls/low /etc/passwd
setfmac  mls/low /etc/group
setfmac  mls/low /etc/
setfmac  mls/low /usr/local/etc
setfmac -R mls/low /usr/local/etc/apache24
setfmac mls/low /usr
setfmac mls/low /usr/local
setfmac mls/low /usr/local/sbin
setfmac mls/low /usr/local/sbin/*
setfmac -R mls/low /usr/local/etc/rc.d/
setfmac mls/low /usr/local/sbin/htcacheclean
setfmac mls/low /var/log/httpd-access.log
setfmac mls/low /var/log/httpd-error.log
setfmac -R mls/low /usr/local/www
setfmac mls/low /usr/lib
setfmac mls/low /tmp
setfmac -R mls/low /usr/local/lib/php
setfmac -R mls/low /usr/local/etc/php
setfmac mls/low /usr/local/etc/php.conf
setfmac mls/low /lib/libelf.so.2
setfmac mls/low /lib/libm.so.5
setfmac mls/low /usr/local/lib/libxml2.so.2
setfmac mls/low /lib/libz.so.6
setfmac mls/low /usr/lib/liblzma.so.5
setfmac mls/low /usr/local/lib/libiconv.so.2
setfmac mls/low /usr/lib/librt.so.1
setfmac mls/low /lib/libthr.so.3
setfmac mls/low /usr/local/lib/libpng16.so.16
setfmac mls/low /usr/lib/libbz2.so.4
setfmac mls/low /usr/local/lib/libargon2.so.0
setfmac mls/low /usr/local/lib/libpcre2-8.so.0
setfmac mls/low /usr/local/lib/libsqlite3.so.0
setfmac mls/low /usr/local/lib/libgd.so.6
setfmac mls/low /usr/local/lib/libjpeg.so.8
setfmac mls/low /usr/local/lib/libfreetype.so
setfmac mls/low /usr/local/lib/libfontconfig.so.1
setfmac mls/low /usr/local/lib/libtiff.so.5
setfmac mls/low /usr/local/lib/libwebp.so.7
setfmac mls/low /usr/local/lib/libjbig.so.2
setfmac mls/low /usr/lib/libssl.so.8
setfmac mls/low /lib/libcrypto.so.8
setfmac mls/low /usr/local/lib/libzip.so.5
setfmac mls/low /etc/resolv.conf

ਇਸ ਸੂਚੀ ਵਿੱਚ ਸਾਰੀਆਂ ਫਾਈਲਾਂ ਲਈ mls/ਘੱਟ ਟੈਗ ਹਨ ਜੋ ਅਪਾਚੇ ਅਤੇ php ਮਿਸ਼ਰਨ ਦੇ ਸਹੀ ਸੰਚਾਲਨ ਲਈ ਜ਼ਰੂਰੀ ਹਨ (ਉਨ੍ਹਾਂ ਪੈਕੇਜਾਂ ਲਈ ਜੋ ਮੇਰੀ ਉਦਾਹਰਣ ਵਿੱਚ ਸਥਾਪਤ ਹਨ)।

ਅੰਤਮ ਛੋਹ mls/ਬਰਾਬਰ ਪੱਧਰ 'ਤੇ ਚਲਾਉਣ ਲਈ ਜੇਲ ਨੂੰ ਸੰਰਚਿਤ ਕਰਨਾ ਹੋਵੇਗਾ, ਅਤੇ mls/ਘੱਟ ਪੱਧਰ 'ਤੇ ਅਪਾਚੇ। ਜੇਲ੍ਹ ਸ਼ੁਰੂ ਕਰਨ ਲਈ, ਤੁਹਾਨੂੰ /etc/rc.d/jail ਸਕ੍ਰਿਪਟ ਵਿੱਚ ਬਦਲਾਅ ਕਰਨ ਦੀ ਲੋੜ ਹੈ, ਇਸ ਸਕ੍ਰਿਪਟ ਵਿੱਚ jail_start ਫੰਕਸ਼ਨਾਂ ਨੂੰ ਲੱਭੋ, ਕਮਾਂਡ ਵੇਰੀਏਬਲ ਨੂੰ ਫਾਰਮ ਵਿੱਚ ਬਦਲੋ:

command="setpmac mls/equal $jail_program"

setpmac ਕਮਾਂਡ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ ਨੂੰ ਲੋੜੀਂਦੀ ਸਮਰੱਥਾ ਪੱਧਰ 'ਤੇ ਚਲਾਉਂਦੀ ਹੈ, ਇਸ ਕੇਸ ਵਿੱਚ mls/ਬਰਾਬਰ, ਸਾਰੇ ਲੇਬਲਾਂ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ। ਅਪਾਚੇ ਵਿੱਚ ਤੁਹਾਨੂੰ ਸਟਾਰਟਅੱਪ ਸਕ੍ਰਿਪਟ /usr/local/etc/rc.d/apache24 ਨੂੰ ਸੰਪਾਦਿਤ ਕਰਨ ਦੀ ਲੋੜ ਹੈ। apache24_prestart ਫੰਕਸ਼ਨ ਨੂੰ ਬਦਲੋ:

apache24_prestart() {
        apache24_checkfib
        apache24_precmd
        eval "setpmac mls/low" ${command} ${apache24_flags}
}

В ਅਧਿਕਾਰੀ ਮੈਨੂਅਲ ਵਿੱਚ ਇੱਕ ਹੋਰ ਉਦਾਹਰਣ ਹੈ, ਪਰ ਮੈਂ ਇਸਨੂੰ ਵਰਤਣ ਵਿੱਚ ਅਸਮਰੱਥ ਸੀ ਕਿਉਂਕਿ ਮੈਨੂੰ setpmac ਕਮਾਂਡ ਦੀ ਵਰਤੋਂ ਕਰਨ ਵਿੱਚ ਅਸਮਰੱਥਾ ਬਾਰੇ ਇੱਕ ਸੁਨੇਹਾ ਮਿਲਦਾ ਰਿਹਾ।

ਸਿੱਟਾ

ਪਹੁੰਚ ਨੂੰ ਵੰਡਣ ਦੀ ਇਹ ਵਿਧੀ ਅਪਾਚੇ ਵਿੱਚ ਸੁਰੱਖਿਆ ਦੇ ਇੱਕ ਵਾਧੂ ਪੱਧਰ ਨੂੰ ਜੋੜ ਦੇਵੇਗੀ (ਹਾਲਾਂਕਿ ਇਹ ਵਿਧੀ ਕਿਸੇ ਹੋਰ ਸਟੈਕ ਲਈ ਢੁਕਵੀਂ ਹੈ), ਜੋ ਕਿ ਇੱਕ ਜੇਲ੍ਹ ਵਿੱਚ ਚਲਦੀ ਹੈ, ਉਸੇ ਸਮੇਂ, ਪ੍ਰਸ਼ਾਸਕ ਲਈ ਇਹ ਸਭ ਕੁਝ ਪਾਰਦਰਸ਼ੀ ਅਤੇ ਅਣਦੇਖੇ ਢੰਗ ਨਾਲ ਹੋਵੇਗਾ।

ਇਸ ਪ੍ਰਕਾਸ਼ਨ ਨੂੰ ਲਿਖਣ ਵਿੱਚ ਮੇਰੀ ਮਦਦ ਕਰਨ ਵਾਲੇ ਸਰੋਤਾਂ ਦੀ ਸੂਚੀ:

https://www.freebsd.org/doc/ru_RU.KOI8-R/books/handbook/mac.html

ਸਰੋਤ: www.habr.com