@AgentSIB30 ноя 2014 в 20:10

удаление важных папок

2 мин

54K

Комментарии 39

@kekekeks 30 ноя 2014 в 20:23

mv /home/hostuser/vhosts/sitename.ru/logs /home/hostuser/vhosts/sitename.ru/pwned

@AgentSIB 30 ноя 2014 в 20:27

Не сработает. Проверьте.

@kekekeks 30 ноя 2014 в 20:28

У меня работает. ext3

@AgentSIB 30 ноя 2014 в 20:32

Сори, ниже ответил…

@AgentSIB 30 ноя 2014 в 20:32

[root@woland /]# mv /home/siteuser/vhosts/site.ru/logs /home/siteuser/vhosts/site.ru/tlogs
mv: cannot move `/home/siteuser/vhosts/site.ru/logs' to `/home/siteuser/vhosts/site.ru/tlogs': Permission denied

Centos, reiserfs. Тоже самое на archlinux ext4.

@kekekeks 30 ноя 2014 в 20:38

Что я сделал не так?

Скрытый текст

kekekeks@KeksMPC:~/sometests$ ls -la
итого 16
drwxrwxr-x   2 kekekeks kekekeks  4096 нояб. 30 23:33 .
drwxr-xr-x 195 kekekeks kekekeks 12288 нояб. 30 23:33 ..
kekekeks@KeksMPC:~/sometests$ sudo mkdir test
kekekeks@KeksMPC:~/sometests$ sudo touch test/.keep
kekekeks@KeksMPC:~/sometests$ sudo chattr +i test/.keep
kekekeks@KeksMPC:~/sometests$ mv test test2
kekekeks@KeksMPC:~/sometests$ ls
test2
kekekeks@KeksMPC:~/sometests$ ls -la test2/
итого 8
drwxr-xr-x 2 root     root     4096 нояб. 30 23:33 .
drwxrwxr-x 3 kekekeks kekekeks 4096 нояб. 30 23:33 ..
-rw-r--r-- 1 root     root        0 нояб. 30 23:33 .keep
kekekeks@KeksMPC:~/sometests$ sudo mv test2 /tmp
mv: невозможно удалить «test2/.keep»: Отказано в доступе
kekekeks@KeksMPC:~/sometests$ mount|grep home
/dev/sda5 on /home type ext3 (rw)
kekekeks@KeksMPC:~/sometests$ uname -a
Linux KeksMPC 3.13.0-35-generic #62-Ubuntu SMP Fri Aug 15 01:58:42 UTC 2014 x86_64 x86_64 x86_64 GNU/Linux

На ext4 повторяется. Заметьте, что удалить я .keep не могу даже от рута, то есть, атрибут применился.

@Alukardd 30 ноя 2014 в 21:00

Ну вообще-то я считаю, что это правильное поведение. Мы всего лишь меняем путь до папки test, при этом мы ни как не изменяем запись о файле .keep.
Всё, что изменилось это поле name для inode описывающего директорию test.
Так что перемещение работает и это логично. Но почему оно не сработало у AgentSIB мне не ясно.

@kekekeks 30 ноя 2014 в 21:02

Это и есть правильное поведение. Видимо, у AgentSIB immutable-флаг ещё на что-то навешен.

@Alukardd 30 ноя 2014 в 21:04

Угумс, тоже дошло уже.

@Alukardd 30 ноя 2014 в 21:04

Хм, у меня есть подозрение. что в момент тестов у AgentSIB был выставлен immutable flag на каталог /home/siteuser/vhosts/site.ru/ или непосредственно на logs.

@AgentSIB 30 ноя 2014 в 21:11

Да, стоит на папке. У вас на файле. Я думаю стоит сделать небольшую приписку к статье…

@mwizard 30 ноя 2014 в 21:58

Просто назначьте логи в другое место, в которое у гостей доступа не будет, а это другое место просто примонтируйте к локальной директории гостя через -o bind. Если удалит — сам себе злобный буратино, но зато никто больше не пострадает.

@AgentSIB 30 ноя 2014 в 22:02

Согласен, об этого сделал приписку ниже. Но согласитесь, bind по хорошему нужно прописывать в fstab, а это лишний шаг. Если изобретать коммерческий хостинг, то это сделать нужно. Но так как у меня на сервере хостятся доверенные люди — достаточно простой защиты от удаления. Цель данной статьи показать, что есть такая возможность.

@mwizard 30 ноя 2014 в 22:06

Вы на спичках экономите, на самом деле. Это не «лишний шаг», это одноразовое действие при загрузке машины, которое решает вашу проблему с «удалили директорию, покрешился демон» в полном объеме, без костылей с попытками предотвратить mv, о котором писал kekekeks.

И да, immutable для mount-а не нужен вообще в данном случае — зачем запрещать модификацию структуры директории? Пусть меняют, это их директория и их личные проблемы.

@AgentSIB 30 ноя 2014 в 22:14

Да, логи можно хранить отдельно. Но создавать папку логово под каждого пользователя (или хост) и отдельно монтировать для каждого пользователя (или хоста) это лишний шаг. В таком случае уж лучше сделать как я предложил в примечании: сделать бинд на папку /srv/www/site.ru, где /srv/www — root:root, а site.ru — имеет флаг immutable.

@Psychopompe 30 ноя 2014 в 22:52

Простите, а не лучше ли было задать этот вопрос на специализированном форуме?

@AgentSIB 1 дек 2014 в 06:14

Угу, и получить в ответ «Юзай Гугл». А если серьезно, то даже на хабре не встретил информацию по поводу этих атрибутов. Все советы по данной теме сводятся к chown, chmod, более продвинутые говорят использовать acl либо bind.

@lemial 1 дек 2014 в 13:13

Илюх, а не проще разделить права до папки sitename.ru?

@AgentSIB 1 дек 2014 в 13:25

Миш, не проще :) Тут профит немного иной.

@dsx 1 дек 2014 в 19:33

Можно в деталях, какой именно профит в сравнении с использованием bind, acl или прав доступа?

@AgentSIB 2 дек 2014 в 05:49

Профит в том, что когда выполняете удаление, забыв о том, что путь является критическим — система не даст это сделать. Ни конечному пользователю, ни суперпользователю.

@dsx 2 дек 2014 в 15:11

Спасибо за объяснение. Интересный костыль, но есть решения намного лучше. О них тут уже говорили.

@arcan1s 3 дек 2014 в 18:32

Угу, и получить в ответ «Юзай Гугл». А если серьезно, то даже на хабре не встретил информацию по поводу этих атрибутов

ви таки не поверите, но даже вы не осветили атрибуты:

lsattr /home/hostuser/vhosts/sitename.ru

Ну или man chattr. К слову, информация по chattr +i будет в первых строках гугла

@casuss 1 дек 2014 в 08:15

А еще симлинк /var/log/apache/site.com можно сделать в папку юзера, и тогда да, удалит симлинк — его проблемы, логи не увидит.

НЛО прилетело и опубликовало эту надпись здесь

@YourChief 1 дек 2014 в 14:43

@Eddy_Em 1 дек 2014 в 20:38

Вот вроде бы уже не детский сад, а все равно «папка».
Да еще и в заголовке.
Фу! Как безграмотно!!!

P.S. И, кстати, этот ваш chattr работает совсем не на всех файловых системах! Скажем, на кошерном Reiserfs — нет.

@AgentSIB 2 дек 2014 в 05:46

Монокль не уроните.
На рейзере работает, читайте выше.

@Eddy_Em 2 дек 2014 в 22:21

Да уж, «работает»:

touch test
lsattr test
lsattr: Неприменимый к данному устройству ioctl While reading flags on test
chattr -i test
chattr: Неприменимый к данному устройству ioctl while reading flags on test

☺

// а extX я не считаю нормальной ФС.

@AgentSIB 2 дек 2014 в 05:55

Хотя в посте я сразу написал о файловых системах ext*

@wlan 1 дек 2014 в 22:35

А зачем логи в хомяке? en.wikipedia.org/wiki/Filesystem_Hierarchy_Standard

@AgentSIB 2 дек 2014 в 05:46

Удобно когда логи рядом с виртуальным хостом.

@AgentSIB 2 дек 2014 в 05:54

+ чтобы сами пользователи их видели. Только свои по своему хосту.

@kodx 2 дек 2014 в 06:26

Может проще было бы сделать хардлинк на директорию в другом месте или, как уже преложили выше, примонтировать с -o bind?

@Ubuntovod 2 дек 2014 в 06:31

Научите, как хардлинк на директорию сделать?

@kodx 2 дек 2014 в 06:34

Хмм, совсем забыл про это. Тогда симлинк ничем не хуже.

@AgentSIB 2 дек 2014 в 06:36

Прочитайте, пожалуйста комментарии… habrahabr.ru/post/243889/#comment_8155571 — вот отсюда

@kodx 2 дек 2014 в 06:45

При использовании симлинка, пользователь может его сам удалить, это его проблемы.

Профит в том, что когда выполняете удаление, забыв о том, что путь является критическим — система не даст это сделать. Ни конечному пользователю, ни суперпользователю.

Запрещать что-то делают руту это вообще абсурд.

Зато, может произойти такая ситуация, что вы забудете, что ставили этот этот особый атрибут на файл или каталог, когда вам надо будет срочно что-то исправить или удалить, на вспоминание может уйти время, что в итоге выльется в простой. Т.е. хочу сказать, что тут на лицо излишнее усложнение, можно, вполне, обойтись штатными и привычными средствами.

@AgentSIB 2 дек 2014 в 06:51

Запрещать что-то делают руту это вообще абсурд.

Ошибиться может простой пользователь, а вот серьезно накосячить может только суперпользователь. Выскажите свою точку зрения людям, которые добавили параметр --no-preserve-root в команду rm.
Если что то нужно исправить или удалить, снять атрибут пара секунд.

Т.е. хочу сказать, что тут на лицо излишнее усложнение, можно, вполне, обойтись штатными и привычными средствами.

Если бы все так рассуждали, до сих пор писали бы на асме или вообще использовали бы перфокарты.

Зарегистрируйтесь на Хабре, чтобы оставить комментарий