本文目录导读：
提权服OSSEC？哎呦喂,这波操作让我血压都上来了！
兄弟们，姐妹们，咱们今天不聊虚的，就掏心窝子聊聊怎么提权服OSSEC这事儿，说实话，我刚接触这玩意儿的时候，心里那个急啊，就跟热锅上的蚂蚁似的——明明是个开源的HIDS（主机入侵检测系统），怎么权限就这么“抠抠搜搜”的呢？后来啊，踩了无数坑，才摸出点门道来，今天必须跟你们唠唠,不然我这口气咽不下去！
第一坑：默认安装，权限跟“小媳妇”似的
你们是不是也这样？装完OSSEC，一运行，发现好多命令得用root才能执行？我当时就懵了，心想这不对啊，我明明是按文档来的呀！后来才明白，OSSEC的提权，核心在于“服务端”和“代理端”要分开看，你想想，那代理端装在客户机上，权限能大吗？肯定不能啊！咱们要提权，主要盯准服务端（Manager） 的操作。
第二坑：改配置，手抖一下，服务崩了
我那时候，特想让他能直接读/var/log/secure这种高权限日志，咋办？硬改ossec.conf？结果呢？诶呀妈呀，直接报错，服务起不来了！给我吓得，冷汗直冒，心里那个悔啊，后来才知道，提权的正确姿势是配合sudo或者setuid，你比如，把OSSEC的某些脚本用chmod u+s加上SUID位，让它能临时用root身份跑某个特定程序，但这风险极高，千万别乱用！我那会儿为了省事，差点把系统搞瘫，写文章这会儿想起来,后背还发凉呢。
第三坑：权限是提上去了，但日志“造反”了
当你千辛万苦，通过调整<remote>标签的参数，或者给ossec-logcollector加上了特殊权限，让它能“光明正大”地读敏感文件时，你发现没？有时候它反而罢工了，为啥？因为OSSEC的“自尊心”很强，你给它提权，它反而不适应，你得在配置里加<allow_ips>（不过这是网络层面的），或者更关键的，在系统层用setfacl或者usermod -a -G把运行用户加进某些特殊组里，比如adm或者wheel组，千万别小看这一步，这比单纯改文件可安全多了！真心建议，用usermod，别用chmod 777,那简直是裸奔啊！
现在我说点掏心窝子的“土办法”
如果你非得“强行”提权，我建议你试试ossec-control脚本的升级版，你看看它的属性，ls -l /var/ossec/bin/ossec-control，是不是有个rws？哎，对了！如果没有，你就得去看编译时有没有加-DPRELUDE这些参数了，不过说实话，太复杂了,我自个儿都绕晕过。
我目前觉得最稳妥的，还是利用OSSEC自带的/var/ossec/active-response目录，你在里面放个脚本，配置里用<command>指定它，然后<active-response>触发，因为这是OSSEC官方认可的“后门”通道，你只要在这个脚本里写上需要root执行的命令，OSSEC会帮助提权的！哈哈，是不是有种“打擦边球”的感觉？但管用啊！
还得提醒一句
咱提权，是为了让系统更安全，比如能监控到/var/log/auth.log里的暴力破解，这没毛病，但别老想着搞破坏啊！我上次看到有朋友为了提权，把OSSEC的配置文件改得面目全非，最后连自己都不知道哪里出问题了，真是“捡了芝麻丢了西瓜”,你说气不气？
最后啊，这安全的路子长着呢，光靠瞎摸索不行，我也吃过不少亏。如果你也对网络安全、运维提权这块有兴趣，想找个靠谱的地方一起探讨，可以加QQ：3362754921（备注“微信公众号”就行），咱们有空聊聊，总比自己瞎折腾强,你说是不是这个理儿？
行了，今天就啰嗦到这儿吧，我得去喝口水，刚才差点因为回忆又把自己气着了，希望这篇带点“小脾气”的文章，能让你少走两步弯路！咱们下次再见！
