在 Go (v1.7) 中绑定到端口后如何安全地删除权限？-Golang-PHP中文网

在 Go (v1.7) 中绑定到端口后如何安全地删除权限？

Susan Sarandon

发布： 2024-11-28 09:35:12

原创

984 人浏览过

How Can I Securely Drop Privileges After Binding to a Port in Go (v1.7)?

在 Golang 中删除权限（v1.7）

在 Go 中，通常需要以 root 权限执行一个进程，绑定到端口，然后将特权授予非 root 用户。但是，由于 Go v1.7 的限制，不支持直接使用 syscall.SetUid()。

要实现此目的，可以考虑以下几种方法：

iptables重定向：

通过 iptables 重新设计端口是一种选择。此方法涉及将另一个端口重新路由到端口 80。但是，此方法会暴露安全问题，因为任何非 root 进程都可能冒充网络服务器。

替代方法：

更安全的方法利用 Go 的原生功能。以下是分步指南：

打开端口。
检查用户 ID (UID)。
如果 UID 为 0（root），获取所需的用户和UID。
使用glibc调用（setuid和setgid）修改进程UID和组 ID (GID)。

此方法提供了权限管理的粒度。以下代码片段演示了其实现：

package main

import (
    "fmt"
    "io"
    "log"
    "net"

    "golang.org/x/sys/unix"
)

func main() {
    listener, err := net.Listen("tcp", "127.0.0.1:80")
    if err != nil {
        log.Fatal(err)
    }

    for {
        conn, err := listener.Accept()
        if err != nil {
            log.Fatal(err)
        }

        uid := unix.Getuid()
        if uid == 0 {
            fmt.Fprintf(conn, "Running as root, downgrading to non-root user")

            // Mock retrieving desired user and UID
            desiredUser := "www-data"
            uid = 33 // Example non-root UID

            if err := unix.Setuid(uid); err != nil {
                log.Fatal(err)
            }
            fmt.Fprintf(conn, "Successfully dropped privileges to user %s\n", desiredUser)
        }

        fmt.Fprintf(conn, "Hello, world!\n")

        // Serve requests
        io.Copy(conn, conn)

        // Close the connection
        conn.Close()
    }
}

登录后复制

通过遵循这些步骤并利用 Go 的内置功能，可以安全地放弃权限并以非 root 权限执行所需的应用程序。

以上是在 Go (v1.7) 中绑定到端口后如何安全地删除权限？的详细内容。更多信息请关注PHP中文网其他相关文章！