Nodejs pm2 我发现有一个严重的安全问题

Nodejs pm2 我发现有一个严重的安全问题

https://github.com/Unitech/pm2/issues/260

如这个 Issue 所说，每个人都可以随意更改他人的 pm2 应用。目前我正在编写一套多人的 Node.js 虚拟主机系统，遇到了这个问题，不知道有没有什么好的解决方案。

4 回复

Nodejs pm2 我发现有一个严重的安全问题

在使用 PM2 管理 Node.js 应用时，我发现了一个严重的安全问题。根据 GitHub 上的一个 Issue（链接），PM2 存在一个漏洞，允许任何人随意更改他人的应用配置。这在我正在开发的一套多人 Node.js 虚拟主机系统中显得尤为严重。

问题描述

PM2 的配置文件通常存储在用户的主目录下（例如 ~/.pm2）。如果多个用户共享同一台服务器，那么一个恶意用户可以通过访问其他用户的 .pm2 目录来修改他们的 PM2 配置，从而影响或破坏其他用户的应用。

示例代码

假设我们有多个用户在一台服务器上运行 Node.js 应用，每个用户都有自己的 .pm2 目录：

/home/user1/.pm2
/home/user2/.pm2

如果 user1 可以访问 user2 的 .pm2 目录，他就可以修改 user2 的 PM2 配置文件（如 process.yml 或 ecosystem.config.js）。

解决方案

为了解决这个问题，可以采取以下几种措施：

  1. 权限管理：

    • 确保每个用户的 .pm2 目录只有该用户有权访问。
    • 使用 chmod 和 chown 命令设置正确的权限和所有者。
    # 设置正确的权限
chmod 700 /home/user1/.pm2
chmod 700 /home/user2/.pm2

# 设置正确的所有者
chown user1:user1 /home/user1/.pm2
chown user2:user2 /home/user2/.pm2

  2. 使用 Docker 容器：

    • 将每个用户的 Node.js 应用部署到独立的 Docker 容器中，这样每个容器都有自己独立的 .pm2 目录，并且相互隔离。

  3. 使用虚拟化技术：

    • 如果条件允许，可以使用虚拟机（如 VirtualBox 或 VMware）来隔离每个用户的环境。

  4. 限制 SSH 访问：

    • 通过限制 SSH 访问，确保只有授权用户才能登录到服务器并访问 .pm2 目录。

  5. 使用 PM2 的安全特性：

    • PM2 提供了一些安全特性，如配置文件加密和认证机制。虽然这些特性可能还不够完善，但可以作为额外的安全层。

通过以上措施，我们可以有效地防止未经授权的用户修改他人的 PM2 配置，从而提高系统的安全性。


多人的 Node.js 虚拟主机系统，这个屌啊

多人的 Node.js 虚拟主机系统 ？？？ 什么东西呢？

在使用 PM2 管理多个用户的 Node.js 应用时，确实存在一定的安全风险，因为默认情况下 PM2 是全局安装的，可能会导致不同用户之间能够互相访问或修改对方的应用配置。

为了解决这个问题，可以通过以下几种方式来增强安全性：

1. 使用不同的 PM2 实例

每个用户可以安装自己的 PM2 实例，并且将这些实例限制在各自用户的权限范围内。这样可以避免不同用户之间的冲突和潜在的安全问题。

示例：

# 安装全局 PM2
npm install -g pm2

# 为每个用户安装本地 PM2
npm install pm2 --save

然后，可以在各自的项目目录中通过本地 PM2 启动应用：

# 用户A
pm2 start app.js --name my-app

# 用户B
pm2 start app.js --name my-app

2. 使用 Docker 容器

将每个应用运行在一个独立的 Docker 容器中，可以有效地隔离不同用户的应用环境，从而提高安全性。

示例：

docker run -d -p 3000:3000 --name my-app -v /path/to/app:/app node:14 pm2-docker start ecosystem.config.js

3. 使用权限管理工具

例如，可以使用 sudo 或其他权限管理工具来限制对 PM2 的访问权限，确保只有特定用户才能执行 PM2 命令。

示例：

# 创建一个专用用户并设置权限
sudo useradd -m pm2user
sudo passwd pm2user

# 将用户添加到 sudoers 文件中
sudo visudo
# 添加一行
pm2user ALL=(ALL) NOPASSWD: /usr/lib/node_modules/pm2/bin/pm2

通过以上方法，可以显著降低多用户环境下 PM2 的安全风险。

回到顶部