centos – 给Apache用户一个shell的危险

tl; dr – 在/ etc / passwd中给Apache一个 sHell有什么危险？

我正在努力使用Apache设置mod_evasive以对抗DOS尝试.我使用DOSSystemCommand运行一个脚本,将违规的IP地址添加到iptables中的BAnnED链.

我发现我可以让这个过程发挥作用的唯一方法是将Apache的sHell从/ sbin / nologin更改为/ bin / bash.但实际上只有脚本的一部分因没有更改sHell而失败.这是DOSSystemCommand行及其运行的脚本：

DOSSystemCommand    "/usr/bin/sudo /bin/bash /var/www/html/ban_ip.sh %s"

和脚本…(注意我只是在测试..这就是为什么我有详细的输出和短禁止期)

#!/bin/bash

IP=$1
IPTABLES=/sbin/iptables

sudo $IPTABLES -I BAnnED -p tcp -s $IP --dport 443 -j DROP
sudo $IPTABLES -I BAnnED -p tcp -s $IP --dport 80 -j DROP

echo sudo $IPTABLES -v -D BAnnED -p tcp -s $IP --dport 80 -j DROP | at -m Now + 1 minutes
echo sudo $IPTABLES -v -D BAnnED -p tcp -s $IP --dport 443 -j DROP | at -m Now + 2 minutes
echo rm -fv /tmp/dos-$IP | at -m Now + 2 minutes

因此,如果Apache具有/ sbin / nologin的sHell,它将添加IPTABLES规则并且它将创建at作业,但是当我收到带有at作业结果的电子邮件时,它会声明用户当前不可用,所以永远不会删除iptables规则.如果我将Apache / bin / bash作为其sHell,则添加iptables规则,创建at作业,并且iptables删除在指定时间按预期工作.

所以我的问题是：通过给Apache用户一个sHell,我以什么方式使我的服务器面临风险？

if (sys_command != NULL) {
          snprintf(filename,sizeof(fileName),sys_command,text_add);
          system(fileName);
        }

DESCRIPTION
       system()  executes  a command specified in command by calling /bin/sh -c command,and returns after the command has been completed.  During execution of the
       command,SIGCHLD will be blocked,and SIGint and SIGQUIT will be ignored.