Instalación y configuración de suPHP

Hola hoy voy a hacer este tutorial de como instalar y configurar el módulo suPHP para Apache o httpd.
La instalación la realicé en Fedora 16 con httpd.
Tal vez ya muchos saben como instalarlo pero de todas formas lo escribiré ya que yo nunca antes lo había hecho y si me tomo tiempo para algo tan sencillo que es el lograr que funcionara.

Lo que el módulo suPHP hace en si es definir que usuario y grupo ejecutará los scripts de PHP. Esto se define dentro de uno o varios VirtualHost. Esto quiere decir que podemos tener distintos usuarios para cada uno de nuestros sitios. Incluso pueden ejecutarse bajo root aunque no es recomendable.

Ahora como se instala:

Se puede con yum o en caso de distros basadas en Debian con apt-get, pero al menos en el caso de Fedora y otras distros similares recomiendo que se descargue desde la página oficial (lo digo por experiencia -.-). Aquí está el link: http://www.suphp.org/Download.html

Entonces ya descargado descomprimimos el paquete con:

tar -xzvf suphp-*.tar.gz

Entramos a la carpeta que se generó tras descomprimir el paquete y configuramos la intalación antes de compilar:

./configure --with-apxs=/usr/sbin/apxs --with-apr=/usr/bin/apr-1-config --with-apache-user=apache --with-logfile=/var/log/httpd/suphp_log --with-setid-mode=paranoid --sysconfdir=/etc --enable-SUPHP_USE_USERGROUP=yes

Que son los parámetros establecidos:

--with-apxs=/usr/sbin/apxs: Establecemos donde se encuentra apxs (esta es mi ubicación pero puede variar según las distros, así que primero verifiquen en donde se encuentra su apxs). Apxs es una utilidad de Apache que ayuda en la construcción de módulos.

--with-apr=/usr/bin/apr-1-config: Igual que la anterior establecemos donde se encuentra en este caso apr-1-config. Apr es la utilidad de configuración Apache Portable Runtime.

--with-apache-user=apache: Se establece con que usuario está corriendo Apache o httpd. (Yo escribí Apache porque así está corriendo mi httpd pero revisen cual es el suyo).

--with-logfile=/var/log/httpd/suphp: Aquí establecemos en donde se van a estar almacenando los logs que genere suPHP. Puede ser una ubicación distinta siempre y cuando el usuario bajo el cual corre Apache o httpd tenga permisos de escritura sobre ese directorio.

--with-setid-mode=paranoid: Se establece bajo que modo se ejecutará suPHP. Más abajo viene la descripción de los distintos modos.

--sysconfdir=/etc: El directorio en donde se buscarán los archivos de configuración de suPHP. Al menos debe ser legible para el usuario de Apache o httpd.

--enable-SUPHP_USE_USERGROUP=yes: Habilitar el uso de suPHP_UserGroup dentro de la configuración de Apache o httpd. suPHP_UserGroup es para establecer el usuario y grupo bajo el cual se ejecutará Apache/httpd o cierto/ciertos VirtualHost.

Modos para ejecutar suPHP:

Owner(dueño): Los scripts se ejecutarán con el usuario y grupo del dueño del archivo.

Force(forzado): Los scripts serán ejecutados con el usuario y grupo establecidos en la configuración de Apache/httpd bajo suPHP_UserGroup sin importar que el dueño del script sea otro usuario o grupo. (suPHP no recomienda utilizar este modo ya que es el más inseguro).

Paranoid(Paranoico): Los scripts serán ejecutados con el usuario y grupo establecidos en la configuración de Apache/httpd bajo suPHP_UserGroup pero sólo si ese usuario y grupo coinciden con el usuario y grupo del dueño del script.

Ahora continuemos con la instalación, ya que se configuró pasemos a compilar:

make

Si no apareció ningún error podemos pasar a la instalación:

make install

Configuración de suPHP en Apache/httpd:

Editamos o sino existe creamos el archivo suphp.conf dentro de /etc (o el directorio que establecieron que almacenaría los archivos de configuración). El archivo debe contener lo siguiente:

[global] logfile=/var/log/suphp.log #Ubicación del log webserver_user=apache #Usuario bajo el cual corre Apache/httpd ###Opciones de seguridad allow_file_group_writeable=true #Permite o niega la escritura de archivos al grupo allow_file_others_writeable=false #Permite o niega la escritura de archivos a otros usuarios allow_directory_group_writeable=true #Permite o niega la escritura de directorios al grupo allow_directory_others_writeable=false #Permite o niega la escritura de directorios a otros check_vhost_docroot=true #Esta opción establece que sólo se ejecutarán los scripts bajo el #DOCROOT establecido por el o los VirtualHost dentro de la configuración de Apache/httpd env_path=/bin:/usr/bin #Ruta de la variable de entorno (también puede variar) umask=077 #La umask que se aplicará para los permisos de archivos o directorios generados #por los scripts min_uid=0 #El UID mínimo bajo el cual se pueden ejecutar los scripts min_gid=0 #El GID mínimo bajo el cual se pueden ejecutar los scripts ####En este caso yo puse 0 ya que necesitaba que se ejecutarán bajo root los scripts pero #no es recomendable, el UID y GID mínimo recomendable es 1000, que es donde empiezan los #usuarios que no son de sistema [handlers] application/x-httpd-php="php:/usr/bin/php-cgi" #Se establece que aplicación será la que #interpretará los scripts, se debe poner la ruta donde se encuentre php-cgi.

El siguiente paso en configuración:

Para httpd en Fedora o similares:

Editar el archivo /etc/httpd/conf.d/suphp.conf con lo siguiente:

LoadModule suphp_module modules/mod_suphp.so suPHP_Engine on AddType application/x-httpd-php .php suPHP_AddHandler application/x-httpd-php

Y el archivo de configuración de httpd en la sección de los VirtualHost debe quedar parecido a esto (suponiendo que queremos correrlo con el usuario rukia):

<VirtualHost *:8080> suPHP_UserGroup rukia rukia #Se establece usuario y grupo para ejecutar los scripts DocumentRoot /var/www/html #Ruta donde se encuentra el contenido que se mostrará en el #servidor web (puede cambiarse esta ruta, siempre y cuando tenga los permisos adecuados) </VirtualHost>


Para Apache en Ubuntu o similares:

Agregar el texto anterior dentro de los VirtualHost que utilizaran suPHP.

Por lo tanto la configuración para un VirtualHost de Apache en Ubuntu utilizando para ejecutar scripts al usuario rukia sería:

LoadModule suphp_module /usr/lib/apache2/modules/mod_suphp.so <VirtualHost *:8080> suPHP_Engine on AddType application/x-httpd-php .php suPHP_AddHandler application/x-httpd-php suPHP_UserGroup rukia rukia DocumentRoot /var/www/html </VirtualHost>


Y con esto finaliza la instalación y configuración de suPHP ahora sólo queda reiniciar el servidor Apache/httpd.

Se puede probar por ejemplo con un script que mande a crear un archivo dentro del mismo directorio:

Código PHP:

system("touch prueba.txt");

Cualquier duda comenten porfavor, saludos!