我如何以“正确的方式”将低编号端口声明为非根端口？

Question

我有一个脚本，我想作为守护进程运行，侦听低编号端口（<1024）

脚本是用Python编写的，尽管Perl中的答案也是可以接受的。

该脚本正在使用 start- 进行守护进程stop-daemon 在启动脚本中，这可能会使答案复杂化

我真正（认为）不想要的是输入 ps -few 并看到此进程以“root”运行在它的线上。

我该怎么做？

（从我对系统调用不太了解的角度来看，我可以看到 3 个途径，

1. 以 root 身份运行脚本（没有 --user/--group/--chuid 来启动-停止-守护进程），并在它声明脚本上的端口 Setuid root (chmod u+s) 后降级其用户
2. ，并以运行用户身份运行脚本（通过 --user/--group/--chuid 启动- stop-daemon，启动脚本仍然必须以 root 身份调用），在脚本中，获取 root 权限，声明端口，然后恢复为普通用户（
3. 其他我不知道的事情

）

Answer 1

“你不知道的东西”是“功能”，但正如提到的其他地方 功能不能很好地与使用 shebang 方法的脚本配合使用，因此这里并不是一个很好的答案。我会采用“绑定端口，然后放弃特权”的方法。

Answer 2

这个页面有一些代码引导我找到它，< a href="http://antonym.org/2005/12/dropping-privileges-in-python.html" rel="nofollow noreferrer">http://antonym.org/2005/12/dropping-privileges-in -python.html

我想设置 umask 是完成这项工作所必需的，这是这段代码似乎唯一做的事情，而我的尝试却没有做到（我不确定设置 umask 真正做了什么，在将其应用于流程的上下文）

我把他的示例撕碎了一点，此外，该页面是 2005 年的，所以我在这里重新发布我的工作解决方案，

def drop_privileges(uid_name='nobody', gid_name='nogroup'):
    # Get the uid/gid from the name
    running_uid = pwd.getpwnam(uid_name)[2]
    running_gid = grp.getgrnam(gid_name)[2]

    # Try setting the new uid/gid
    try:
        os.setgid(running_gid)
    except OSError, e:
        logging.error('Could not set effective group id: %s' % e)
        exit()

    try:
        os.setuid(running_uid)
    except OSError, e:
        logging.error('Could not set effective user id: %s' % e)
        exit()

    # Ensure a very convervative umask
    new_umask = 077
    old_umask = os.umask(new_umask)
    logging.info('drop_privileges: Old umask: %s, new umask: %s' % \
             (oct(old_umask), oct(new_umask)))

    final_uid = os.getuid()
    final_gid = os.getgid()
    logging.info('drop_privileges: running as %s/%s' % \
             (pwd.getpwuid(final_uid)[0],
              grp.getgrgid(final_gid)[0]))    

Answer 3

选项 1 是 Apache httpd 所采用的路线。如果它对于世界上最受欢迎的 Web 服务器来说足够好，那么就值得认真考虑自己的守护进程。

Answer 4

您可以安装一个库，如果LD_PRELOAD-ed，它将伪造任何可执行文件（脚本或其他）的根权限：http://fakeroot.alioth.debian.org/

在脚本上设置粘性位权限（至少根据我的经验）没有效果； ELF 二进制解释器（/usr/bin/python、/bin/sh、/usr/bin/perl 等）需要粘性权限才能工作。您可以做的是将二进制文件复制到另一个位置，在其上设置粘滞位，然后将脚本的 bang 行指向它。

不过，如果您在正在执行的系统上没有 root 访问权限，则可以修改路由器设置，将 <1024 外部端口定向到 >=1024 内部端口。

编辑：我忘了提到这个小工具：redir。这是本地端口重定向服务。它甚至对 inetd 友好。