← Back to branch summary

~azzar1/unity/add-show-desktop-key

« back to all changes in this revision

Viewing changes to bin/ivle-buildjail

Quick port of fileservice to the new framework. It's still very much old-style,
though.

Show diffs side-by-side

added added

removed removed

Lines of Context:
bin/ivle-buildjail
18
18
 
19
19
import optparse
20
20
import os
21
 
import stat
22
21
import sys
23
22
import shutil
24
23
 
 
24
import ivle.conf
25
25
import ivle.config
26
26
import ivle.jailbuilder.debian
27
27
 
28
 
class UnsafeJail(Exception):
29
 
    pass
30
 
 
31
28
usage = """usage: %prog [options]
32
29
(requires root)
33
30
Builds or updates the base IVLE jail."""
34
31
 
35
 
# Requires root
36
 
if os.getuid() != 0:
37
 
    print >> sys.stderr, "This script requires root privileges to run"
38
 
    sys.exit(1)
39
 
 
40
32
conf = ivle.config.Config()
41
 
build_path = conf['paths']['jails']['template_build']
 
33
build_path = ivle.conf.jail_system_build
42
34
 
43
35
# Parse arguments
44
36
parser = optparse.OptionParser(usage)
51
43
    help='''Apply any package updates in the jail.''')
52
44
parser.add_option("-m", "--mirror",
53
45
    action="store", dest="apt_mirror",
54
 
    help="Sets the apt mirror.", default=conf['jail']['mirror'])
55
 
parser.add_option("--python-site-packages",
56
 
    action="store", dest="python_site_packages",
57
 
    help="Path to Python site packages directory inside the jail.",
58
 
    default=None)
 
46
    help="Sets the apt mirror used when recreating the jail.")
59
47
(options, args) = parser.parse_args(sys.argv)
60
48
 
61
49
if os.geteuid() != 0:
66
54
    print >> sys.stderr, "No jail exists -- please rerun with -r."
67
55
    sys.exit(1)
68
56
 
69
 
if (options.python_site_packages is not None and
70
 
    options.python_site_packages[:1] not in (os.path.sep, os.path.altsep)):
71
 
    print >> sys.stderr, "python-site-packages must be an absolute path."
72
 
    sys.exit(1)
73
 
 
74
57
if options.recreate:
75
 
    options.upgrade = True
76
 
 
77
58
    # Create the jail and its subdirectories
78
59
    # Note: Other subdirs will be made by copying files
79
60
    if options.apt_mirror is not None:
80
61
        os.environ['MIRROR'] = options.apt_mirror
81
62
 
82
 
    # Print a final warning to the user that this is a potentially-expensive
83
 
    # operation
84
 
    recreating = "Re-creating" if os.path.exists(build_path) else "Creating"
85
 
    print_mirror = options.apt_mirror or 'http://archive.ubuntu.com/ubuntu'
86
 
    print """%s jail from %s
87
 
Be warned, this may download hundreds of megabytes!
88
 
If this is the wrong source, please cancel now (note that it is too late to
89
 
save the existing jail; you will have to rebuild the jail from scratch now).\
90
 
""" % (recreating, print_mirror)
91
 
 
92
63
    os.system('rm -rf --one-file-system ' + build_path)
93
64
    ivle.jailbuilder.debian.debootstrap_create_jail(conf['jail']['suite'],
94
65
              build_path, mirror=options.apt_mirror)
95
66
 
96
 
    ivle.jailbuilder.debian.apt_update_cache(build_path)
97
 
    # Minimal required packages
98
 
    ivle.jailbuilder.debian.apt_install(build_path,
99
 
            ['python', 'python-cjson', 'python-svn', 'python-configobj'])
100
 
 
101
 
    ivle.jailbuilder.debian.apt_clean(build_path)
102
 
 
103
 
if options.upgrade:
104
 
    # Run apt-get update, apt-get upgrade and apt-get clean.
105
 
    ivle.jailbuilder.debian.mangle_sources_list(build_path, clobber=True)
106
 
    ivle.jailbuilder.debian.mangle_sources_list(build_path, lines=[
107
 
            'deb %s %s%s %s' % (options.apt_mirror, conf['jail']['suite'],
108
 
                                pocket, ' '.join(['main', 'universe']))
109
 
            for pocket in ('', '-updates', '-security')])
110
 
 
111
67
    # Add any extra site apt sources.
112
68
    if conf['jail']['extra_sources']:
113
69
        ivle.jailbuilder.debian.mangle_sources_list(build_path,
119
75
                                            conf['jail']['extra_keys'])
120
76
 
121
77
    ivle.jailbuilder.debian.apt_update_cache(build_path)
122
 
    ivle.jailbuilder.debian.apt_upgrade(build_path)
 
78
    ivle.jailbuilder.debian.apt_install(build_path,
 
79
                        ['python2.5', 'python-cjson', 'python-svn'])
123
80
 
124
81
    # Install any extra site packages.
125
82
    if conf['jail']['extra_packages']:
128
85
 
129
86
    ivle.jailbuilder.debian.apt_clean(build_path)
130
87
 
131
 
    # Configure locales to allow en_US.UTF-8 (which IVLE uses)
132
 
    ivle.jailbuilder.debian._execute_in_chroot(build_path,
133
 
        ['locale-gen', 'en_US.UTF-8'])
134
 
 
135
 
if conf['jail']['devmode']:
136
 
    # Copy all console and operating system files into the jail
137
 
    services_path = os.path.join(conf['paths']['share'], 'services')
138
 
    jail_services_path = os.path.join(build_path, services_path[1:])
139
 
    if os.path.exists(jail_services_path):
140
 
        shutil.rmtree(jail_services_path)
141
 
    shutil.copytree(services_path, jail_services_path)
142
 
 
143
 
    # Also copy the IVLE lib directory into the jail
144
 
    # This is necessary for running certain services
145
 
 
146
 
    # ivle_site_packages is the IVLE install location outside the jail
147
 
    ivle_site_packages = os.path.dirname(ivle.__file__)
148
 
 
149
 
    if options.python_site_packages is None:
150
 
        # Get the site packages from the IVLE install location *OUTSIDE* the
151
 
        # jail. Warning! This only works if you have the same Python site
152
 
        # packages directory inside and out (ie. same Python version).
153
 
        # If not, you should use --python-site-packages.
154
 
        jail_site_packages = os.path.join(build_path, ivle_site_packages[1:])
155
 
    else:
156
 
        # User-specified site packages
157
 
        jail_site_packages = os.path.join(build_path,
158
 
                                options.python_site_packages[1:], "ivle")
159
 
    if os.path.exists(jail_site_packages):
160
 
        shutil.rmtree(jail_site_packages)
161
 
    shutil.copytree(ivle_site_packages, jail_site_packages)
162
 
 
163
 
    # And finally copy in /etc/hosts, /etc/resolv.conf and /etc/hostname,
164
 
    # so name resolution is less unlikely to work.
165
 
    shutil.copy(
166
 
        '/etc/resolv.conf', os.path.join(build_path, 'etc/resolv.conf'))
167
 
    shutil.copy('/etc/hosts', os.path.join(build_path, 'etc/hosts'))
168
 
    shutil.copy('/etc/hostname', os.path.join(build_path, 'etc/hostname'))
169
 
 
170
 
# Make /tmp and /var/lock un-world-writable. /tmp will be mounted over,
171
 
# and /var/{lock,tmp} should die.
172
 
for path in ('tmp', 'var/lock', 'var/tmp'):
173
 
    path = os.path.join(build_path, path)
174
 
    os.chmod(path, os.stat(path).st_mode & ~stat.S_IWOTH)
175
 
 
176
 
# Verify that nothing in the jail is world-writable.
177
 
# We don't want students to write into places that others can see.
178
 
try:
179
 
    for path, dirs, files in os.walk(build_path):
180
 
        for dname in dirs:
181
 
            d = os.path.join(path, dname)
182
 
            if os.path.islink(d):
183
 
                continue
184
 
            if os.stat(d).st_mode & stat.S_IWOTH:
185
 
                raise UnsafeJail(d)
186
 
 
187
 
        for fname in files:
188
 
            f = os.path.join(path, fname)
189
 
            if os.path.islink(f):
190
 
                continue
191
 
            if os.stat(f).st_mode & stat.S_IWOTH:
192
 
                if (os.path.dirname(f) == os.path.join(build_path, 'dev') and
193
 
                    os.path.basename(f) in ('ptmx', 'null', 'tty', 'full', 'zero',
194
 
                                            'random', 'urandom')
195
 
                    ):
196
 
                    continue
197
 
                raise UnsafeJail(f)
198
 
except UnsafeJail, e:
199
 
    print >> sys.stderr,"""Error: Jail contains world writable path: '%s'.
200
 
This is a security vulnerability as jail template contents are shared between 
201
 
users. Please either make this path world unwriteable or remove it from the 
202
 
jail."""%str(e)
203
 
    sys.exit(1)
204
 
 
205
 
# Copy jail template build to actual jail template
206
 
template_path = conf['paths']['jails']['template']
 
88
if options.upgrade:
 
89
    # Run apt-get update, apt-get upgrade and apt-get clean.
 
90
    ivle.jailbuilder.debian.apt_update_cache(build_path)
 
91
    ivle.jailbuilder.debian.apt_upgrade(build_path)
 
92
    ivle.jailbuilder.debian.apt_clean(build_path)
 
93
 
 
94
# Copy all console and operating system files into the jail
 
95
services_path = os.path.join(ivle.conf.share_path, 'services')
 
96
jail_services_path = os.path.join(build_path, services_path[1:])
 
97
if os.path.exists(jail_services_path):
 
98
    shutil.rmtree(jail_services_path)
 
99
shutil.copytree(services_path, jail_services_path)
 
100
 
 
101
# Also copy the IVLE lib directory into the jail
 
102
# This is necessary for running certain services
 
103
ivle_site_packages = os.path.join(ivle.conf.python_site_packages, 'ivle')
 
104
jail_site_packages = os.path.join(build_path, ivle_site_packages[1:])
 
105
if os.path.exists(jail_site_packages):
 
106
    shutil.rmtree(jail_site_packages)
 
107
shutil.copytree(ivle_site_packages, jail_site_packages)
 
108
 
 
109
# IMPORTANT: ivle/conf/conf.py contains details which could compromise security
 
110
# if left in the jail (such as the DB password). We delete it now! It would be
 
111
# shadowed by the per-user conf.py anyway, but it's best to be safe.
 
112
os.unlink(os.path.join(jail_site_packages, 'conf/conf.py'))
 
113
# XXX: Shouldn't copy the compiled files at all, but compile them in the jail!
 
114
os.unlink(os.path.join(jail_site_packages, 'conf/conf.pyc'))
 
115
 
207
116
if os.spawnvp(os.P_WAIT, 'rsync', ['rsync', '-a', '--delete',
208
 
              build_path + '/', template_path]) != 0:
 
117
              build_path + '/', ivle.conf.jail_system]) != 0:
209
118
    print >> sys.stderr, "Jail copying failed."
210
119
    sys.exit(1)
211
120
 
212
 
# Now mangle things a bit, so we can bind-mount the user bits in.
213
 
# /etc/passwd and /etc/ivle/ivle.conf need to be symlinks to somewhere in /home
214
 
 
215
 
os.rename(os.path.join(template_path, 'etc/passwd'),
216
 
          os.path.join(template_path, 'home/.passwd')
217
 
          )
218
 
os.symlink('../home/.passwd', os.path.join(template_path, 'etc/passwd'))
219
 
 
220
 
os.makedirs(os.path.join(template_path, "etc/ivle"))
221
 
os.symlink('../../home/.ivle.conf',
222
 
           os.path.join(template_path, "etc/ivle/ivle.conf"))