Dotaz: Vypis vsech uzivatelu

[Sirius]

Ahoj, resim takovej kamenak. Jednou jsem dal zdatnejsimu kamaradoj heslo k uctu root. Dalkove mi s necim pomoh. To od nej bylo sice moc hezky, ale taky si tam vytvoril dalsi ucet s pravama roota. Ja bych mu ten ucet tetkon chtel odstranit. Hacek je v tom, ze ani nevim jak se jmenuje, popripadne kam vsude a jak to moh schovat.

Prosim, poradte.

Odpovědi

[Milan "Nemo" Cingroš]

Uživatele máš v souboru /etc/passwd. Ale jestli měl někdo zdatný přístup na roota, tak už tomu systému stejně nemůžeš nikdy věřit. Hlavně se podívej, jestli v domácím adresáři nějakého uživatele není v .ssh/authorized_keys nějaký klíč o kterém nevíš komu patří. Root si může otevřít spoustu cest...

[Sirius]

Jak z nej poznam, kterej ma jaky prava? Nevytvarej si ciste nahodou i deamoni svoje ucty? Mam pocit, ze tam ma ucet napr. Postfix. Takze, jak identifikovat "ziveho" uzivatele?

[fakenickname]

Vybral bych všechny účty z /etc/shadow které mají přiřazené nějaké heslo (shluk divných znaků - kryptované heslo). Z nich bych vyloučil vlastní účty a zbytek rozřadil podle skupin. ID 0 je root práva, ID 1000 a výše bývají user práva.

[Peter Lehotsky]

Zivy uzivatel by mel mit nejaky home (/home/honza) a shell (/bin/bash) a v /etc/shadow nejaky hash hesla za prvni dvojteckou, daemon tam bude mit "!"

[Milan "Nemo" Cingroš]

Ještě můžeš prozkoumat /etc/group a podívej se kdo je ve skupině wheel nebo adm. Wheel umožňuje přepnutí na roota. Další co bys měl prohlídnout je /etc/sudoers. Pokud je tam nějaký uživatel, tak může spouštět povolené příkazy s právy roota, v nejhorším případě si může pustit i rootovský shell a stačí mu k tomu vlastní heslo (v nejhorším případě nepotřebuje žádné heslo).

[Michal Kubeček]

Verze su z GNU coreutils (ta je v Linuxu nejrozšířenější) s žádnou skupinou wheel nepracuje.

[michich]

Klidně může. Závisí to na nastavení PAM.

[Michal Kubeček]

Pokud chcete šťourat v detailech, máte to mít: ani když si něco nastavíte v konfiguraci PAM, příkaz su ke skupině wheel žádným zvláštním způsobem nepřihlíží.

Ale budiž, napíšu to jinak: u většiny linuxových distribucí v defaultním nastavení může příkaz su používat i ten, kdo není členem skupiny wheel.

[michich]

Nemyslím, že je to šťourání v detailech, prostě mě to zajímá. Já sice skupinu wheel taky nepoužívám, ale mezi PAM moduly mám třeba pam_wheel.so, tak jsem si říkal, že ten by to mohl zařizovat.

[Matyáš Dvořák]

# cat /etc/shadow | grep -v '[!||*]'

[Sirius]

Tak se stalo to nejhorsi. Ten ucet uz ma snad nekolik mesicu. Neresil jsem to...blbost nejvetsi! Tet se chci prihlasit a ono to jaksi nejde... Muze uzivatel s pravama roota zmenit rootoj heslo. Sem z toho docela v...

[Sirius]

Nejspis to je uplne jedno, ale stale mam par uctu do kterejch se dostanu, bohuzel jejich opravneni jsou minimalni.

[Matyáš Dvořák]

# passwd root

[Sirius]

Takze jsem uplne v hajzlu? Nebo mam nakou sanci? Prece to nemusim spravovat jenom dalkove...Prinasi to nejakou moznost?

[Michal Kubeček]

Muze uzivatel s pravama roota zmenit rootoj heslo.

Pokud "rootoj" mělo znamenat "rootovi", pak samozřejmě ano. Bylo by nelogické, pokud by zrovna root měl být jediný uživatel, který si nesmí změnit své heslo…

[Sirius]

Pochopitelne jsem mel na mysli napriklad uzivatele administrator, ktery by mel stejna prava jako root.

[Michal Kubeček]

To ale svědčí o nepochopení toho, jak uživatelé fungují. Máte-li v /etc/passwd dvě položky se stejným UID, neměl byste si představovat, že se jedná o dva uživatele. Ve skutečnosti je to spíš jeden uživatel, který se může přihlašovat pod dvěma jmény (a se dvěma hesly). Např. proces nemá možnost, jak zjistit, pod kterým z těch jmen jste se přihlásil, pouze může pomocí getuid() zjistit UID, vlastníci souborů ve filesystému jsou evidování jako UID atd. Naopak, proces může běžet (nebo soubor být vlastněn) i s UID, které se v tabulce /etc/passwd vůbec nevyskytuje.

[Milan "Nemo" Cingroš]

Rootovi může měnit heslo jenom root. Jiný uživatel pouze po přepnutí na roota (ať už to bude příkazem su nebo sudo). Nevím o jiné možnosti, jak by nějaký uživatel mohl měnit hesla jiným uživatelům, to může jenom root.

[Michal Kubeček]

Výraz root je ovšem třeba chápat jako zkratku pro "uživatel s UID 0". Zrovna v tomto případě je ten rozdíl dost podstatný.

[Filip Jirsák]

Uživatele máš v souboru /etc/passwd.

A nebo taky ne.

# cat /etc/shadow | grep -v '[!||*]'

Taky vedle. Uživatelé nemusí být pouze v souborech (man nsswitch.conf).

Zjistit všechny uživatele v systémových databázích můžete např. příkazem

getent passwd

(v Gentoo je součástí balíčku glibc, takže předpokládám, že bude k dispozici téměř všude)

[Milan "Nemo" Cingroš]

A můžeme pokračovat, co třeba LDAP nebo kerberos?

[Sirius]

Ale porad mi bohuzel nikdo neodpovedel, zda se da situace nejak vyresit. Teda moznost by byla - preinstalovat. To si ale nemuzu dovolit:(

[Michal Kubeček]

Ať se vám to líbí nebo ne, v této situaci je to jediné spolehlivé řešení.

[Sirius]

A nejake "docasne" reseni by bylo? Instalace a konfigurace serveru mi totiz bude trvat moc moc dlouho...A potebuju moznost podivat se na vsechno co potrebuju.

[Xerces]

Je to asi prasečina a nevím na 100% jestli to pomůže, ale ... vyndej disk z toho počítače a připoj ho k jinému počítači. Z edituj manuálně /etc/shadow řádek kde je root a narvi tam natvrdo nějakej svůj "známej" zakódovanej řetězec, třeba zkopíruj ten od svého uživatele. Pak ten disk vrať do původního PC a pod root se přihlásíš pod tím heslem. Hlavně si ho proboha hned změň a už ho nikdy nikomu nedávej

[Xerces]

Případně by mělo stačit přebootovat do nějake Live distribuce abys nemusel ten disk fyzicky vyndávat. Je to jasné?

[Michal Kubeček]

Proboha, vy barbare, k čemu máme rescue CD? :-)

[Michal Kubeček]

Pozdě…

[Filip Jirsák]

Otázkou je, co vlastně chcete řešit. Pokud chcete mít opravdu velkou jistotu, že váš kamarád nemá přístup k vašemu systému, nezbývá než systém přeinstalovat, protože záleží jen na umu toho druhého, jak dovedně se před vámi dokáže skrýt.

Pokud jste ochoten to risknout a věřit, že vám kamarád na počítači nenahradil binárky, nepodstrčil upravené jádro apod., pak stačí jen najít a vymazat účty ekvivalentní rootovi (s uid=0) a změnit rootovi heslo. Příkaz getent passwd píše uid uživetele do třetího sloupečku, takže všechny uživatele s uid=0 vypíšete třeba příkazem

getent passwd | awk -F: '$3 ~ /^0$/'

Uživatele, kteří nejsou root vymažte, rootovi změňte heslo. Změňte všem uživatelům, o kterých nevíte jistě, že je to účet lidského uživatele, shell na /bin/false. Zkontrolujte, zda nějaký uživatel nemá povoleno su na roota bez hesla, nebo nemá povolené spouštění nějakých "nebezpečných" programů přes sudo. Zkontrolujte setuid programy – zda to jsou jen ty, které to mají být.

Každopádně to ale bude těžká práce, protože jestli nevíte ani který uživatel vytvořený v systému k čemu je, budete těžko poznávat, co je správně a co bylo změněno.

[Filip Jirsák]

Pokračovat čím? Máte-li uživatele v LDAPu, je nejjednodušším způsobem jak z nich udělat systémové uživatele opět NSS. O Kerberosu toho moc nevím, ale domnívám se, že je to jen autentizační protokol, tedy že uživatele stejně musíte mít uložené nějak jinak.