Puis-je empêcher la création d'un dossier d'un certain nom?

Je travaille sur une application Web LAMP et il y a un processus planifié quelque part qui continue de créer un dossier appelé shopà la racine du site. Chaque fois que cela apparaît, cela provoque des conflits avec les règles de réécriture dans l'application, ce n'est pas bon.

Jusqu'à ce que je trouve le script incriminé, existe-t-il un moyen d'empêcher la shopcréation d' un dossier appelé à la racine? Je sais que je peux modifier les autorisations sur un dossier pour empêcher la modification de son contenu, mais je n'ai pas trouvé de moyen d'empêcher la création d'un dossier d'un certain nom.

Vous ne pouvez pas, étant donné que l'utilisateur qui crée le répertoire dispose des autorisations suffisantes pour écrire sur le répertoire parent.

Vous pouvez à la place tirer parti de la inotifyfamille d'appels système fournis par le noyau Linux, pour surveiller la création (et éventuellement le mv-ing) du répertoire shopdans le répertoire donné, s'il est créé (ou éventuellement mv-ed), rmle répertoire.

Le programme d'espace utilisateur dont vous avez besoin dans ce cas est inotifywait(livré avec inotify-tools, installez-le d'abord si nécessaire).

En supposant que le répertoire shoprésiderait dans le /foo/barrépertoire, définissons une surveillance pour la /foo/bar/shopcréation et rminstantanément s'il est créé:

inotifywait -qme create /foo/bar | \
             awk '/,ISDIR shop$/ { system("rm -r -- /foo/bar/shop") }'

• inotifywait -qme create /foo/barsurveille le /foo/barrépertoire pour tout fichier / répertoire qui pourrait être créé, c'est-à-dire surveillez tout createévénement

• S'il est créé, awk '/,ISDIR shop$/ { system("rm -r -- /foo/bar/shop") }'vérifie si le fichier se trouve être un répertoire et que le nom est shop( /,ISDIR shop$/), si c'est rmle répertoire ( system("rm -r -- /foo/bar/shop"))

Vous devez exécuter la commande en tant qu'utilisateur disposant d'une autorisation d'écriture sur le répertoire /foo/barpour la suppression du shoprépertoire.

Si vous souhaitez également surveiller les mvopérations de contrôle , ajoutez également la fonction de surveillance des moved_toévénements:

inotifywait -qme create,moved_to /foo/bar | \
             awk '/,ISDIR shop$/ { system("rm -r -- /foo/bar/shop") }'

Juste pour noter, si vous cherchez un fichier, pas un répertoire, nommé shop:

inotifywait -qme create /foo/bar | \
                 awk '$NF == "shop" { system("rm -- /foo/bar/shop") }'

inotifywait -qme create,moved_to /foo/bar | \
                 awk '$NF == "shop" { system("rm -- /foo/bar/shop") }'

Répondre littéralement à la question d'empêcher la création d' un dossier d'un certain nom.

touch shop

Vous ne pouvez pas créer un répertoire si un fichier avec un nom identique existe

mkdir: cannot create directory ‘shop’: File exists

Qu'en est-il du détournement de mkdirsyscall avec LD_PRELOAD...?

$ ls
test.c
$ cat test.c 
#define _GNU_SOURCE

#include <string.h>
#include <sys/stat.h>
#include <sys/types.h>
#include <dlfcn.h>

typedef int (*orig_mkdir_func_type)(const char *path, mode_t mode);

int mkdir(const char *path, mode_t mode) {
    if(!strcmp(path, "shop")) return 1;

    orig_mkdir_func_type orig_func;
    orig_func = (orig_mkdir_func_type)dlsym(RTLD_NEXT, "mkdir");
    return orig_func(path, mode);
}
$ gcc -shared -fPIC test.c -o test.so
$ LD_PRELOAD='./test.so' mkdir test
$ LD_PRELOAD='./test.so' mkdir shop
mkdir: cannot create directory ‘shop’: No such file or directory
$ ls
test  test.c  test.so

Notez qu'à l'intérieur de ce gestionnaire, vous pouvez enregistrer le PID du processus qui souhaite créer ce répertoire à la place:

$ cat test.c 
#define _GNU_SOURCE

#include <string.h>
#include <stdio.h>
#include <unistd.h>
#include <sys/stat.h>
#include <sys/types.h>
#include <dlfcn.h>

typedef int (*orig_mkdir_func_type)(const char *path, mode_t mode);

int mkdir(const char *path, mode_t mode) {
    if(!strcmp(path, "shop")) {
        FILE* fp = fopen("/tmp/log.txt", "w");
        fprintf(fp, "PID of evil script: %d\n", (int)getpid());
        fclose(fp);
    }

    orig_mkdir_func_type orig_func;
    orig_func = (orig_mkdir_func_type)dlsym(RTLD_NEXT, "mkdir");
    return orig_func(path, mode);
}
$ gcc -shared -fPIC test.c -o test.so
$ LD_PRELOAD='./test.so' mkdir shop
$ cat /tmp/log.txt 
PID of evil script: 8706

Vous devez le placer dans ~/.bashrcroot (ou celui qui exécute votre application) pour vous assurer qu'il sera utilisé:

export LD_PRELOAD=/path/to/test.so

(Aurait commenté la réponse de Miati mais ne se souvient pas de mon ancien compte et n'a pas assez de réputation sur ce nouveau ...)

Vous pouvez bloquer la création en créant un fichier, puis en modifiant les attributs du fichier.

$ sudo touch shop
$ sudo chattr +i shop

Ensuite, toute tentative de faire quoi que ce soit avec ce fichier sera bloquée - même si l'utilisateur devient root.

$ rm shop
rm: remove write-protected regular empty file ‘shop’? y
rm: cannot remove ‘shop’: Operation not permitted
$ sudo rm shop
rm: cannot remove ‘shop’: Operation not permitted

Créez un lien symbolique pointant vers un emplacement inexistant dans un répertoire inexistant. Cela a des implications amusantes:

$ ln -s non-existent/foobar foo
$ ls -ln
total 0
lrwxrwxrwx 1 1000 1000 19 Okt  4 17:17 foo -> non-existent/foobar
$ mkdir foo
mkdir: cannot create directory ‘foo’: File exists
$ cat foo
cat: foo: No such file or directory
$ echo foo > foo
zsh: no such file or directory: foo

1. mkdir, link et autres échoueront avec EEXIST(le fichier existe).
2. Tenter d'ouvrir le chemin pour la lecture, l'écriture ou l'ajout échouera avec ENOENT(Aucun fichier ou répertoire de ce type)
3. L'utilisation de stat (2) (pas lstat (2) ou stat (1)) sur l'emplacement échoue également avec ENOENT. lstat renverra bien sûr les informations sur le lien symbolique.

Cela présente deux avantages par rapport à certaines des autres solutions proposées ici: (a) vous n'avez pas besoin d'un service en cours d'exécution qui suit la création du répertoire et (b) le nom semble être inexistant pour la plupart des commandes.

Vous devrez essayer, mais je soupçonne que quelles que soient les règles de réécriture que vous avez, ils n'utilisent pas lstat ou d'autres commandes sans déréférencement, ce qui les fait échouer.