这个脚本安全吗？

Question

我需要执行一些服务器任务。现在我多次听到这是非常不安全的。这是我的解决方案：

将此行添加到 sudoers： www-data ALL=NOPASSWD: /var/private-www/bin/webadmin （无法通过网络访问）

创建了此脚本var/private-www/bin/webadmin：

# Script for executing server tasks.
#
# Arguments:
#  - Password       Required for authentication, not all scripts may run this file
#  - Action         Action to execute
# Exit codes:
#  0                Failed
#  1                Success

# First of all check the password
if [ $1 = "secretpassword" ]
then

whoami
exit 1

else

echo "No access"
exit 0

fi

该文件具有以下权限： 0111

仅对一个帐户启用 SSH 访问。所以除了我（和 www-data）之外，没有人可以执行该脚本。 www-data 现在可以通过执行以下操作来访问此文件： exec('/usr/bin/sudo /var/private-www/bin/webadmin Secretpassword', $output, $status);

这足够安全吗？我怎样才能让它更安全？

Answer 1

我认为如果你的 Apache 服务器被破解，有人可以访问该脚本并执行它，但我可能是错的。

我遇到了您可能想阅读的资源，特别是当涉及到将脚本限制到内部网络时。

http://www.linuxsecurity.com/content/view/133913/171/

我希望这能回答您的问题。