从 php 运行 iptables 时出现意外行为

Question

我正在从php中运行以下代码

$ipAddress=$_SERVER['REMOTE_ADDR'];
$mac = `arp -an |grep $ipAddress | awk '{print $4}'`;
$c = "sudo iptables -t mangle -I internet 1 -m mac --mac-source $mac -j RETURN";
shell_exec($c);

在它之后，输出

#iptables -L -v -t mangle  
 pkts bytes target     prot opt in     out     source               destination         
  215 18676            all  --  *      *       0.0.0.0/0            0.0.0.0/0            MAC D0:17:C2:48:1E:4F
   26  1717 RETURN     udp  --  *      *       0.0.0.0/0            0.0.0.0/0            udp dpt:53
    0     0 RETURN     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:53
  340 26189 MARK       all  --  *      *       0.0.0.0/0            0.0.0.0/0            MARK set 0x63

请注意，目标中没有返回

如果我从 bash shell 运行与 sudo 相同的命令，则输出为

$ sudo iptables -t mangle -I internet -m mac --mac-source D0:17:C2:48:1E:4F -j RETURN
pkts bytes target     prot opt in     out     source               destination         
    0     0 RETURN     all  --  *      *       0.0.0.0/0            0.0.0.0/0            MAC D0:17:C2:48:1E:4F
    0     0 RETURN     udp  --  *      *       0.0.0.0/0            0.0.0.0/0            udp dpt:53
    0     0 RETURN     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:53
    0     0 MARK       all  --  *      *       0.0.0.0/0            0.0.0.0/0            MARK set 0x63

观察目标中是否有返回

我已经用 visudo 修改了 sudoers，使 php 能够以 root 身份运行所述命令

我还尝试了system（），exec并在php中使用反引号运算符。但是，一切都是一样的。

我不明白为什么会发生这种情况以及对此的补救措施。

Answer 1

分配给

$mac的字符串以换行符结尾，从而中断iptables命令。删除换行符，例如使用 explode 而不是 awk ，应该可以解决此问题：

$ipArp = `arp -an | grep $ipAddress`;
$mac = explode(' ', $ipArp)[3];

我想补充一点，这种剧本让我有点害怕。盲目地将值传递给 shell 命令可能会产生非常糟糕的后果。 我不认为这个特定的脚本是可利用的，但从安全的角度来看，向 PHP 授予 sudo 权限不是一个好主意。

Answer 2

解决方案：-

我做了一个脚本/usr/bin/addtheuser，并只允许 sudo 访问这个脚本的 www-data。

/

usr/bin/addtheuser：-

iptables -t mangle -i wlan0 -I internet 1 -m mac --mac-source $1 -j RETURN

当我尝试从 php 运行时

$c = "sudo /usr/bin/addtheuser ".$mac;
shell_exec($c);

现在它按预期工作。