33 使程序免疫 #

要查找 Web 应用程序，请检查您的 Web 服务器配置。Apache 万维网服务器的可配置性比较高，您可以将万维网应用程序保存在多个目录中，这取决于本地配置。默认情况下，SUSE Linux Enterprise Server 将 Web 应用程序存储在 /srv/www/cgi-bin/ 中。应尽最大可能使每个 Web 应用程序都有一个 AppArmor 配置文件。

找到这些程序后，可以使用 aa-genprof 和 aa-logprof 工具创建或更新其 AppArmor 配置文件。

由于 CGI 程序通过 Apache Web 服务器执行，因此您必须对 Apache 自身的配置文件 usr.sbin.httpd2-prefork（适用于 SUSE Linux Enterprise Server 上的 Apache 2）进行修改，以添加对每个 CGI 程序的执行权限。例如，添加 /srv/www/cgi-bin/my_hit_counter.pl rPx 行会授予 Apache 执行 Perl 脚本 my_hit_counter.pl 的权限，并要求存在 my_hit_counter.pl 的专用配置文件。如果 my_hit_counter.pl 没有关联的专用配置文件，则规则中应该指明 /srv/www/cgi-bin/my_hit_counter.pl rix，使 my_hit_counter.pl 继承 usr.sbin.httpd2-prefork 配置文件。

某些用户可能感觉为 Apache 可能调用的每个 CGI 脚本指定执行权限比较繁琐。管理员可以将一定的访问权限授予 CGI 脚本的集合，这是一种替代方法。例如，添加 /srv/www/cgi-bin/*.{pl,py,pyc} rix 行将允许 Apache 执行 /srv/www/cgi-bin/ 中以 .pl（Perl 脚本）和 .py 或 .pyc（Python 脚本）结尾的所有文件。如上所示，规则的 ix 部分将使 Python 脚本继承 Apache 配置文件，这适合用于您不想为每个 CGI 脚本编写单独的配置文件的情况。

注意

在 Web 应用程序处理 Apache 模块（mod_perl 和 mod_php）时，如果您需要子进程限制模块 (apache2-mod-apparmor) 功能，则在 YaST 或命令行中添加配置文件时，请使用 ChangeHat 功能。要利用子进程限制，请参见第 38.2 节 “管理 ChangeHat 感知型应用程序”。

为使用 mod_perl 和 mod_php 的 Web 应用程序构建配置文件需要稍微改变处理方式。在这种情况下，“program”是 Apache 进程内的模块直接解释的脚本，因此不进行执行。而 AppArmor 版的 Apache 使用与所请求 URI 的名称对应的子配置文件（“帽子”）来调用 change_hat()。

注意

要执行的脚本所呈现的名称可能不是 URI，取决于 Apache 被配置为在何处查找模块脚本。如果您之前将 Apache 配置为将脚本放置在其他位置，当 AppArmor 指出访问违规事件时，日志文件中会出现不同的名称。请参见第 40 章 “管理已构建配置文件的应用程序”。

对于 mod_perl 和 mod_php 脚本，这是请求的 Perl 脚本或 PHP 页面的名称。例如，添加以下子配置文件将允许 localtime.php 页面执行并访问本地系统时间和区域设置文件：

/usr/bin/httpd2-prefork {
  # ...
  ^/cgi-bin/localtime.php {
    /etc/localtime                  r,
    /srv/www/cgi-bin/localtime.php  r,
    /usr/lib/locale/**              r,
  }
}

如果尚未定义子配置文件，AppArmor 版的 Apache 将应用 DEFAULT_URI 帽子。要显示网页，使用此子配置文件便足以满足需求。AppArmor 在默认情况下提供的 DEFAULT_URI 帽子如下所示：

^DEFAULT_URI {
    /usr/sbin/suexec2                  mixr,
    /var/log/apache2/**                rwl,
    @{HOME}/public_html                r,
    @{HOME}/public_html/**             r,
    /srv/www/htdocs                    r,
    /srv/www/htdocs/**                 r,
    /srv/www/icons/*.{gif,jpg,png}     r,
    /srv/www/vhosts                    r,
    /srv/www/vhosts/**                 r,
    /usr/share/apache2/**              r,
    /var/lib/php/sess_*                rwl
}

要将单个 AppArmor 配置文件用于 Apache 处理的所有网页和 CGI 脚本，编辑 DEFAULT_URI 子配置文件是个不错的方法。有关使用 Apache 限制 Web 应用程序的详细信息，请参见第 38 章 “使用 ChangeHat 构建 Web 应用程序的配置文件”。

要查找需要构建配置文件的网络服务器守护程序和网络客户端（例如 fetchmail 或 Firefox），您应检查计算机上的开放端口。另外，还请考虑通过这些端口响应的程序，并为其中尽量多的程序提供配置文件。如果您为具有开放网络端口的所有程序提供了配置文件，那么攻击者不突破 AppArmor 配置文件策略，就无法进入计算机上的文件系统。

使用扫描程序（例如 nmap）从计算机外部手动扫描服务器上的开放网络端口，或以 root 身份使用 netstat --inet -n -p 命令从计算机内部扫描。然后检查计算机，以确定哪些程序通过所发现的开放端口进行响应。

提示

有关所有可能的选项的详细参考信息，请参见 netstat 命令的手册页。