Dotaz: Nemůžu zapisovat do souboru

[K.K.]

Ahoj,

objasní mi tady někdo tuto situaci?

adresář

/opt

má nastaveno

rwxr-xr-x / root root

a adresář

/opt/mujdir

má nastaveno

rwxrwxrwx / root root

a soubor

/opt/mujdir/run.sh

má nastaveno

rwxrwxrwx / root root

Přesto do souboru run.sh nemůžu zapisovat nikdo jiný než root. Co mám špatně? Jsem úplný amatér tak prosím abych to pochopil ;). Děkuji

Odpovědi

[NN]

Dej sem vystup 'ls -l /opt/mujdir/run.sh' tohle

rwxrwxrwx / root root

neni spravny vystup..

[K.K.]

Tady to je.

ls -l /opt/mujdir/run.sh
-rwxrwxrwx 1 root root 1 Nov  7 18:45 /opt/mujdir/run.sh

[Josef Kufner]

Do takového souboru může zapisovat kdokoliv. Ale ještě do toho může kecat ACL, případně file systém může být read-only.

[NN]

+ delat neco takoveho je bezpecnostni dira. Do spustitelneho skriptu s root vlastnikem by rozhodne nemel mit pravo zapisovat kazdy.

[lertimir]

Není úplně superobrovská, protože to není SUID, ale dost závažná je.

[Andrej]

Linux naštěstí ignoruje setuid u skriptů (nebo obecně u všeho, co je spustitelné stylem shebang).

Bezpečnostní díra to ale pořád je, přinejmenším v tom smyslu, že když bude root spouštět ten skript, nebude mít nikdy jistotu, co přesně spouští.

[K.K.]

Zbytečný dotaz, nevím vůbec nic.

[vencour]

A podle čeho soudíte, že tam skutečně nemůžete zapisovat?

[K.K.]

Podle toho, že tam nemůžu skutečně zapisovat

[NN]

Jak vypada vystup:

echo '#foo' >> /opt/mujdir/run.sh

[K.K.]

To je divné, tohle projde :(

[NN]

Takze muzes zapisovat. Jak zapisujes, kdyz to nefunguje a jaky je vystup?

[Kit]

Špatně máš především nápad, že by se to mělo dělat zrovna takhle. Jako kdyby ses snažil obejít použití databáze nebo jiné síťové služby. Ovšem zatím netušíme, k čemu to vlastně potřebuješ. Aby ti vetřelci mohli měnit konfiguraci systému?

[K.K.]

A jak to jinak udělat, když chci aby k tomu měli přístup všichni uživatelé včetně root

[NN]

Idelani by bylo vedet o co se vubec pokousis.

[Josef Kufner]

Uděláš si skupinu uživatelů, kteří tam mají mít právo k zápisu. Souboru nastavíš skupinu a oprávnění nastavíš na povolený zápis skupině. Ve skupině bude vyjmenováno jen to, co tam to právo opravdu má mít.

Povolit všem všechno je zbytečná díra.

[Kit]

Udělej to jako službu. Budeš si tak moct ověřit, zda ti tam uživatelé nevkládají blbosti.