apache - 为什么我们要以非root用户身份运行tomcat？

Question

我知道最好不要在 root 用户下运行 tomcat。但是我们已经有一个工作环境，其中 tomcat 以 root(管理员)身份运行。

这种方法容易受到哪些攻击？

Answer 1

以较高权限运行的应用程序并不比以较低权限运行时更容易受到攻击。

但是，如果应用程序遭到破坏，如果攻击者能够代表运行该应用程序的系统用户执行任意命令，情况就会有所不同。那么，攻击者能否以 root 权限或较低权限执行命令就不同了。

要降低应用程序危害的影响，您应该遵循 principle of least privilege并为运行应用程序的用户提供尽可能少的权限。