Нормально ли процессы от имени рута на веб сервере?

Question

[Максим Углов]

Пытаюсь найти узкое место на сайте. Вывожу список текущих процессов и вижу много запущенных от имени root с именем httpd.itk.

нормально это? как сузить поиск? думал назначить разным сайтам разных пользователей для запуска но если почти половина процессов apache запускаются от рута то это не поможет.

Answer 1

[Сергей Протько]

Since mpm-itk has to be able to setuid(), it runs as root (although restricted with POSIX capabilities and seccomp v2 where possible) until the request is parsed and the vhost determined. This means that any code execution hole before the request is parsed will be a potential root security hole. (The most likely place is probably in mod_ssl.) This is not likely to change in the near future, as socket passing, the most likely alternative solution, is very hard to get to work properly in a number of common use cases (e.g. SSL).

mpm-itk.sesse.net