Foro - Perl en Español

¿Qué tal?

Quería saber si hay alguna forma de realizar un script para administrar los puertos de mi PC. He instalado iptables pero lo quiero hacer desde un CGI Perl.

Hay un "pequeño" problema...

Para lograr eso, el programa debe estar a nombre del root. O que el root le dé permisos setuid para que el usuario que ejecuta el servidor web -y por ende, el cgi- adopte la personalizar del root y pueda ejecutar las iptables.

Una vez superado ese escollo, podrás usar las iptables desde dentro del cgi usando qx() o system() (yo tengo algunos hechos así), o con alguno de los módulos Perl que manejan iptables, como IPTables::ChainMgr.

Vi los post anteriores y veo que IPTables::IPV4 es un buen módulo, pero me marca el siguiente error al instalarlo:

No sé si sigue siendo un buen módulo, ya que la última versión es del 18 de agosto del 2003.

Y tiene 10 mensajes de error y una anotación.

Prueba a instalarlo según indica el README (los cuatro famosos pasos). Así saldrán mejor los errores.

Podría ser que la biblioteca libiptc incluida en la distribución fuese demasiado vieja para los sistemas actuales. O que tu sistema no tuviera un compilador de C. O que la está intentando instalar como un usuario y no como root.

Bueno, como simplemente quiero transportar mis líneas iptables a un script Perl, me convendría más usar un cgi usando qx() o system(), como usted me lo sugiere. ¿Los privilegios al script los puedo dar con:
ls -lh archivo.cgi?

La verdad, desconozco la forma de usar iptables con qx() o system(). Quiero pensar que es algo como programación híbrida. No encontré tutoriales sobre ello.

jose santiago escribiste:¿Los privilegios al script los puedo dar con: ls -lh archivo.cgi?

Los permisos de un archivo se cambian con el comando chmod. Y la propiedad de usuario y grupo, con chown.

jose santiago escribiste:La verdad, desconozco la forma de usar iptables con qx() o system(). Quiero pensar que es algo como programación híbrida. No encontré tutoriales sobre ello.

No es muy complicado...

Las siguientes líneas son un extracto de un sistema mío, donde filtro a los pesados que quieren abusar del sistema de correo (spam).


Más información en tu propio ordenador en perldoc perlop, y en la Web (traducido), busca por 'qx'.

Más información en tu ordenador, en perldoc -f system.

He descargado el módulo IPTables::ChainMgr. Encontré líneas para analizar el tráfico de puerto. No sé si mi script está correcto pero el único error que marca es la ubicación del módulo, y ya lo he instalado con cpan.

#!/usr/lib/perl

use IPTables::ChainMgr;

my $ipt_bin = '/sbin/iptables';

my %opts = (
'iptables' => $ipt_bin,
'iptout' => '/tmp/iptables.out',
'ipterr' => '/tmp/iptables.err',
'debug' => 0,
'verbose' => 0,


'ipt_alarm' => 5, # tiempo máximo de ejecución
'ipt_exec_style' => 'waitpid'.
'ipt_exec_sleep' => 1.

# la línea que encontré para ver el tráfico del puerto es:

($rv, $rule_num) = $ipt_obj->find_ip_rule('fe80::200:f8ff:fe21:67cf', '0:0:aa::/64',
'filter', 'INPUT', 'ACCEPT', {'normalize' => 1, 'protocol' => 'tcp',
's_port' => 0, 'd_port' => 80});

# para cerrar el tráfico es

($rv, $rule_num) = $ipt_obj->find_ip_rule('10.1.2.0/24', '192.168.1.2',
'filter', 'INPUT', 'REJECT', {'normalize' => 1});

);

¿Alguna ayuda de favor para echar a andar mi script?

Sin ver el error es difícil decir qué pasa.

Para saber si un módulo está bien instalado, basta con ejecutar

perl -MIPTables::ChainMgr -e 1

Si no sale nada, es que Perl sí encuentra el módulo.

Para saber si un programa está bien escrito, basta con ejecutar

perl -c programa.pl

Perl comprobará la sintaxis, y si ve algo raro, lo dirá.

explorer escribiste:Hay un "pequeño" problema...

Para lograr eso, el programa debe estar a nombre del root. O que el root le dé permisos setuid para que el usuario que ejecuta el servidor web -y por ende, el cgi- adopte la personalizar del root y pueda ejecutar las iptables.

Una vez superado ese escollo, podrás usar las iptables desde dentro del cgi usando qx() o system() (yo tengo algunos hechos así), o con alguno de los módulos Perl que manejan iptables, como IPTables::ChainMgr.

explorer: ¿y cómo haces para dar permisos al comando system() cuando se ejecute desde el CGI?

Este es mi script:



[Sun Sep 18 18:08:54.627114 2016] [cgi:error] [pid 13049] [client m.i.i.p:49150] AH01215: iptables v1.4.21: can't initialize iptables table `filter': Permission denied (you must be root)
[Sun Sep 18 18:08:54.627145 2016] [cgi:error] [pid 13049] [client m.i.i.p:49150] AH01215: Perhaps iptables or your kernel needs to be upgraded.

El problema es que para ejecutar iptables... necesitas ser root (es decir, el usuario web es root), o que el programa esté a nombre de root, o que el programa, estando a nombre de root, tiene el permiso setuid para que lo pueda ejecutar el usuario web.

Y aún así... el servidor web se puede negar a ejecutarlo.

Para que quede claro:

• el programa CGI lo va a ejecutar el mismo usuario que está ejecutando el servidor web (que se llamará www, www-data, httpd, apache, apache2 o apache4). Entonces... ese programa debe tener permisos de ejecución para ese usuario. Y eso se consigue de varias formas distintas:
  
  • el programa está a nombre (propietario) del usuario web
  • el programa tiene permisos de ejecución para el grupo de usuarios al que también pertenece el usuario web
  • el programa tiene permisos de ejecución para todo el mundo
  • el programa tiene activado el indicador setuid para que, aun perteneciendo a un usuario, al ejecutarse, obtiene la personalidad de otro usuario.
  Desde luego, lo más cómodo es el punto 3: chmod 775 cgi.pl
  
• pero... aquí tienes un problema: el iptables requiere que sea ejecutado por el usuario root (eso es lo que te está diciendo el mensaje de error). Entonces... solo queda dos opciones:
  
  • el programa tiene como propietario el usuario root (pero puede haber problemas. Ver más abajo)
  • lo mismo que antes: el propietario es el usuario root, pero tiene activado el bit setuid para permitir que el usuario web lo pueda ejecutar con permisos de root.

Te comentaba que podría haber un problema, y es que el servidor web puede tener activado el modo de seguridad, y darse cuenta de que el programa a ejecutar está a nombre del root, por lo que no lo ejecutará.

En ese caso, no te queda más solución que adoptar la solución de ejecutarlo por medio de SuEXEC. Aquí hay un buen resumen (a partir de la sección How To Enable SuExec).

PERO... si está puesto con usuario root, SuEXEC NO lo va a ejecutar nunca (ver punto 7 del enlace de SuEXEC).

La solución es: desactivar el modo de seguridad del servidor web. Puede ser tan sencillo como desinstalar el SuEXEC. Luego, cambias el propietario del programa a root:

chown root.root cgi.pl

y le das permisos 755

chmod 755 cgi.pl

para que lo puede ejecutar todo el mundo. Y listo.

Es obvio, advertir, que permitir que el servidor web ejecute un programa como root, es tremendamente peligroso.

Una cosilla... ¿Te has dado cuenta de que no estás imprimiendo el valor de la variable $status?