Hola, estoy usando la última versión de nginx y tengo una duda...

Estoy intentando de crear un sistema de baneo a través de nginx junto a un servicio estadístico de ips baneadas, el tema es que no se como hacerlo.

Lo que hice fue crear una regla muy simple en la configuración de nginx:


Se comprende lo que quiero hacer? la idea es que cuando alguien intente acceder a archivos no permitidos termine denegando el acceso y a demás baneandose a traves de iptables, ahora, lo que quiero principalmente es generar un log personalizado muy similar al del nginx pero que indique la razón de porque fue baneado, fecha de baneo, regla de solicitud denegada, etc.

Por eso estaba pensando pasar todo a traves de un único archivo .sh pasándole argumentos y que este se encargue de ejecutar el iptables o apf y que genere este log o que llame a un archivo en python y guarde en una base de datos en mongodb los datos de baneo... pero para lograr todo esto necesito saber si es posible ejecutar un comando sobre la linea comentada antes de retornar el 403, también sería genial que desde el mismo archivo sh se comunique por telnet al router y bloquee la ip por hardware a traves del firewall cisco asa.

Hay alguna manera de lanzar esta ejecución de alguna manera?

La segunda alternativa pero no tan efectiva sería que solamente genere un log personalizado pero tendría que tener un servicio que revise el log cada x segundos y vaya baneando las ips que tengan ciertas reglas, pero eso quiere decir que ya no será baneado sobre la primera solicitud sino cuando el servicio recorra el log, a demás al crecer el log el proceso se hará mas pesado y no es la idea.

Puedes darle permisos a www-data para que ejecute un sh como permisos de root, pero solo un sh. Es un poco peligroso, pero si solo le das permisos de escritura a root no hay peligro.

En el fichero sudoers sería algo así:


También puedes usar el permiso sticky bit con:

Mentira, no es el sticky bit lo que hace eso, es el setuid. Se activa de esta forma:


Eso lo que hace es que se ejecuta el fichero con los permisos del usuario propietario aunque no lo sea.

Aunque lo que no se como se pone en nginx para ejecutar un sh en una regla, pero suena interesante.

Edito: Parece que en nginx puedes ejecutar código de Lua, para ejecutar el bash script:


La fuente: http://stackoverflow.com/questions/22891148/nginx-how-to-run-a-shell-script-on-every-request

Suerte.

No estoy seguro de como hace el rewrite nginx, pero yo creo que es posible hacer el rewrite sin una respuesta HTTP 30X de por medio. Si vi el tema de lua pero no estaba seguro si puedes enviar parametros, por ejemplo ip. Y no hace falta mencionar... que esos parametros que estes pasando a tu archivo que tiene permisos root pueden representar un riesgo.

Edit: Nginx al parecer no hace uso de ninguna peticion intermediaria con rewrite a menos que tu le indiques.

Si usas FCGI, puedes pasar las variables con fastcgi_params.

http://wiki.nginx.org/FcgiExample

El documento hace mencion a PHP FPM, hay un fcgi para perl pero la verdad nunca he tratado con el.

Agregué al /etc/sudoers la linea:

Ahora ejecuto desde php:

<plaintext>
<?php 
system('id');
system('/var/ban/403.sh');
system('/bin/bash /var/ban/403.sh');
system('sudo /var/ban/403.sh');
system('sudo /bin/bash /var/ban/403.sh');
?>

el archivo 403.sh tiene:


Le di permisos de ejecución con chmod +x 403.sh y nada, solo se ejecuta el primero con id de apache:

Pero el resto nada apache está corriendo con permisos de apache y nginx con permisos de nginx, supuse que php al tener permisos de apache podría ejecutar el script de baneo con permisos de root pero nada.

Le acabo de poner:
A sudoers para descartar un problema con la ruta o cosas así y tampoco :-/