abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    včera 04:22 | IT novinky

    Byly vyhlášeni vítězové a zveřejněny vítězné zdrojové kódy (YouTube, GitHub) již 28. ročníku soutěže International Obfuscated C Code Contest (IOCCC), tj. soutěže o nejnepřehlednější (nejobfuskovanější) zdrojový kód v jazyce C.

    Ladislav Hagara | Komentářů: 8
    3.8. 14:22 | Komunita

    Na čem pracují vývojáři webového prohlížeče Ladybird (GitHub)? Byl publikován přehled vývoje za červenec (YouTube).

    Ladislav Hagara | Komentářů: 0
    3.8. 01:11 | Pozvánky

    Konečně se ochladilo, možná i díky tomu přestaly na chvíli padat rakety jako přezrálé hrušky, díky čemuž se na Virtuální Bastlírně dostane i na jiná, přízemnější témata. Pokud si chcete jako každý měsíc popovídat s dalšími bastlíři, techniky, vědci a profesory u virtuálního pokecu u piva, Virtuální Bastlírna je tu pro Vás.

    Ještě před ochlazením se drát na vedení V411 roztáhl o 17 metrů (přesné číslo není známé, ale drát nepřežil) a způsobil tak… více »
    bkralik | Komentářů: 2
    2.8. 23:44 | Komunita

    Na čem aktuálně pracují vývojáři GNOME a KDE Plasma? Pravidelný přehled novinek v Týden v GNOME a Týden v KDE Plasma.

    Ladislav Hagara | Komentářů: 0
    1.8. 15:44 | Nová verze

    PixiEditor byl vydán ve verzi 2.0. Jedná se o multiplatformní univerzální all-in-one 2D grafický editor. Zvládne rastrovou i vektorovou grafiku, pixel art, k tomu animace a efekty pomocí uzlového grafu. Zdrojové kódy jsou k dispozici na GitHubu pod licencí GNU LGPL 3.0.

    Ladislav Hagara | Komentářů: 2
    1.8. 13:22 | Nová verze

    Byly představeny novinky v Raspberry Pi Connect for Organisations. Vylepšen byl protokol auditu pro lepší zabezpečení. Raspberry Pi Connect je oficiální služba Raspberry Pi pro vzdálený přístup k jednodeskovým počítačům Raspberry Pi z webového prohlížeče. Verze pro organizace je placená. Cena je 0,50 dolaru za zařízení za měsíc.

    Ladislav Hagara | Komentářů: 0
    1.8. 01:33 | Zajímavý software

    CISA (Cybersecurity and Infrastructure Security Agency) oznámila veřejnou dostupnost škálovatelné a distribuované platformy Thorium pro automatizovanou analýzu malwaru. Zdrojové kódy jsou k dispozici na GitHubu.

    Ladislav Hagara | Komentářů: 0
    31.7. 17:22 | Nová verze Ladislav Hagara | Komentářů: 0
    31.7. 16:11 | Zajímavý software

    Společnost Proton AG stojící za Proton Mailem a dalšími službami přidala do svého portfolia Proton Authenticator. S otevřeným zdrojovým kódem a k dispozici na všech zařízeních. Snadno a bezpečně synchronizujte a zálohujte své 2FA kódy. K používání nepotřebujete Proton Account.

    Ladislav Hagara | Komentářů: 0
    30.7. 16:22 | Zajímavý článek

    Argentinec, který byl náhodně zachycen Google Street View kamerou, jak se zcela nahý prochází po svém dvorku, vysoudil od internetového giganta odškodné. Soud uznal, že jeho soukromí bylo opravdu porušeno – Google mu má vyplatit v přepočtu asi 12 500 dolarů.

    Ladislav Hagara | Komentářů: 17
    Kolik tabů máte standardně otevřeno ve web prohlížeči?
     (29%)
     (29%)
     (5%)
     (7%)
     (4%)
     (1%)
     (2%)
     (24%)
    Celkem 210 hlasů
     Komentářů: 23, poslední včera 13:01
    Rozcestník

    Dotaz: Zabezpečení dostupných programů v shellu

    25.10.2021 08:17 alfonz
    Zabezpečení dostupných programů v shellu
    Přečteno: 801×
    Zdravím,

    chtěl bych zkusit minimalizovat riziko napadnutí programu (tzn např. spuštění vlastního programu v shellu). Používám firejail a docela se mi podařilo omezit spousty příkazů, které je možné spustit na 4 a nějaké dostupné v shellu (exec, trap etc). Nyní je v /usr/bin/ pouze
    nice
    sh
    dash
    file
    ls
    python3
    
    A to je docela dobré, ale zjistil jsem 2 nemilé věci, jedna je, že se mi nedaří omezit sh a python3 (jsou potřeba pro spuštění) a další větší problém je /lib/ld.so nebo ld-linux-x86-64.so.2 Všechny tyto věci, mohou znovu spustit nějaký jiný příkaz. Zjistil, jsem že to vypadá, že to nejde nijak ovlivnit? Protože pro první spuštění jsou potřebné, přemýšlel jsem, že bych to spustil a vždy pak smazal binárky?

    Řešil jste někdo jak zabezpečit aplikaci proti vniknutí (spuštění příkazů?)


    Řešení dotazu:


    Odpovědi

    25.10.2021 08:42 X
    Rozbalit Rozbalit vše Re: Zabezpečení dostupných programů v shellu
    Resis zbytecnosti. Tim, ze to takto orezes to sice znepristupnis, ale take to bude celkem nepouzitelne. Co asi dela "program v schellu", nic moc vzhledem k tomu co zbylo. Jako cviceni ok. Mimochodem shellovy skript je citelny soubor, tvoje "riziko napadnuti" = ls > tvuj_program.sh..
    25.10.2021 09:23 alfonz
    Rozbalit Rozbalit vše Re: Zabezpečení dostupných programů v shellu
    popravdě mě spíše vadí, že pokud se uživateli povede předhodit a spustit cizí např. již zkompilovany program, tak např. tam může být miner nebo něco horšího a tomu bych chtěl zabránit. jinak co se týče toho přesměrovánání, tak to mi zas tak moc nevadí (vzhledem k tomu, že ten program jen pro čtení a jiného uživatele)

    Jinak ano chci to co nejvíce omezit. Např. nejčastější napadaní je právě přístupný curl/wget. Snažím se mít co nejméně knihoven/programů. Avšak nevím jak vyřešit to, že pro spuštění bych např. shell potřebuji, ale poté již ho nepotřebuji. A to nevím jak vyřešit.
    25.10.2021 10:01 X
    Rozbalit Rozbalit vše Re: Zabezpečení dostupných programů v shellu
    pokud se uživateli povede předhodit a spustit cizí např. již zkompilovany program
    Kdo je ten uzivatel? Clovek?
    25.10.2021 12:55 luky
    Rozbalit Rozbalit vše Re: Zabezpečení dostupných programů v shellu
    Pokud nechcete, aby si uzivatel spoutel vlastni soubory, tak pouzijte prepinac noexec u vsech FS, kde ma uzivatel pravo zapisu. Toto zabrani jen primemu spusteni, nezabrani to napr. interpretaci.
    25.10.2021 15:46 alfonz
    Rozbalit Rozbalit vše Re: Zabezpečení dostupných programů v shellu
    Právě, jde o to, že někdy lidé pošlou do interpretru příkaz přímo, proto chci zakázat ld a python3/sh poté co se použije.
    Heron avatar 25.10.2021 16:48 Heron | skóre: 53 | blog: root_at_heron | Olomouc
    Rozbalit Rozbalit vše Re: Zabezpečení dostupných programů v shellu
    popravdě mě spíše vadí, že pokud se uživateli povede předhodit a spustit cizí např. již zkompilovany program, tak např. tam může být miner nebo něco horšího a tomu bych chtěl zabránit. jinak co se týče toho přesměrovánání, tak to mi zas tak moc nevadí (vzhledem k tomu, že ten program jen pro čtení a jiného uživatele)
    OS se většinou používá ke spouštění programů. S tím nic neuděláte. Pokud se bojíte toho, že tam někdo pustí miner, lze to řešit pomocí ulimit, cgroups, systemd. Pokud se bojíte rozesílání spamu, lze v iptables (nftables), zakázat output podle uid.
    Např. nejčastější napadaní je právě přístupný curl/wget.
    Napadání čeho? Kým? Co tím sleduje?
    Josef Kufner avatar 25.10.2021 09:51 Josef Kufner | skóre: 70
    Rozbalit Rozbalit vše Re: Zabezpečení dostupných programů v shellu
    Správné řešení je takovým uživatelům prostě zakázat shell.

    Případně si můžeš vytvořit vlastní shell, který bude dělat těch pár operací, které potřebuješ (dělají to tak Git repozitáře zpřístupněné po SSH, např. Gitlab či gitolite).
    Hello world ! Segmentation fault (core dumped)
    25.10.2021 15:50 alfonz
    Rozbalit Rozbalit vše Re: Zabezpečení dostupných programů v shellu
    zakázat shell > to by sice bylo ideální, ale jak takovou věc chcete udělat, když potřebujete alespoň spustit první program. Ano ssh omezuje příkazy > a tak to tak dělá, ale jak říkám potřebuji spustit python a pak to zakázat :)

    Jinak ssh takto používám, ale tuto situaci to imho nevyřeší ne? Jinak rbash, jsem zkoušel, ale tam nejde jednoduše omezit příkazy.
    Řešení 1× (Вherzet)
    25.10.2021 19:46 z_sk | skóre: 34 | blog: analyzy
    Rozbalit Rozbalit vše Re: Zabezpečení dostupných programů v shellu
    Napis si vlastny shell. Ak len potrebujes spustat jeden prikaz, tak to nie je nic tazke.
    debian.plus@protonmail.com
    25.10.2021 20:27 Peter Golis | skóre: 65 | blog: Bežné záležitosti | Bratislava
    Rozbalit Rozbalit vše Re: Zabezpečení dostupných programů v shellu
    A prečo by mal? Takých shellov a iných chrootov je na trhu dosť. A sú plne konfigurovateľné. Jeden z nich je napríklad scponly, a na domovskej stránke má odkazy na sesterské projekty.
    25.10.2021 20:41 X
    Rozbalit Rozbalit vše Re: Zabezpečení dostupných programů v shellu
    Cele je to blbost. Splacal jsi shell skript a protoze jsi si vybral tento primitivni a uzivatelsky naprosto nevhodny jazyk zacnes kvuli tomu orezavat vsechno okolo. Uplne zbytecne. Chces spustit jednen prikaz? Udelej si webovou stranku a doprostred dej tlacitko s napisem 'spustit'. Bude to plnit uplne stejnou funkci bude to dost paranoidni a nebudes muset vymyslet takove kraviny..
    Řešení 1× (OldFrog {Ondra Nemecek})
    Josef Kufner avatar 25.10.2021 21:35 Josef Kufner | skóre: 70
    Rozbalit Rozbalit vše Re: Zabezpečení dostupných programů v shellu
    Uživateli nastavíš v /etc/passwd tvůj vlastní shell. Ten shell je prostě jen program, klidně pár řádek v Pythonu nebo Bashi, který zkontroluje parametry a spustí tu jednu věc, kterou potřebuješ. Je to stejně jednoduché, jako napsat skript.

    Pokud to potřebuješ interaktivní, tak si pomocí readline nebo čehokoliv ten vstup načteš a zpracuješ, jak potřebuješ. Co neimplementuješ, to tam nebude.

    Pokud potřebuješ skriptování, můžeš použít Lua, nebo něco podobného, kde zpřístupníš jen to, co chceš. Je to zas o tom, že si napíšeš vlastní program, který to pořeší přesně podle tvých představ. V podstatě se pomalu dostáváš ke klient-server architektuře, kde SSH je jen transportní vrstva.
    Hello world ! Segmentation fault (core dumped)
    26.10.2021 08:05 alfonz
    Rozbalit Rozbalit vše Re: Zabezpečení dostupných programů v shellu
    jo tohle nezní špatně, ale díval jsem se, že např. rssh nebo lshell již nejsou součástí debianu a jediné co zůstává je rbash. Máte nějakou ukázku, jak by takový skript měl reálně vypadat, jde o to, že jsem se díval např. na forceCommand v ssh a není to úplně přímočaré.

    Našel jsem něco jako https://metacpan.org/release/DERF/ssh-forcecommand-1.0/source/bin/ssh-forcecommand Ještě asi zkusím hledat dál.

    Díky za info.
    Josef Kufner avatar 26.10.2021 13:02 Josef Kufner | skóre: 70
    Rozbalit Rozbalit vše Re: Zabezpečení dostupných programů v shellu
    Mělo by to vypadat stejně jako jakýkoliv jiný program pro příkazový řádek. Podívej se na ukázku jakékoliv knihovny pro parsování parametrů z příkazové řádky a máš to.

    Založ si testovacího uživatele, nastav mu svůj program jako shell a nech ten program vypsat, co dostal jako parametry. Klidně si tam přidej nějaký pár sekundový delay a koukni na spuštěné procesy (doporučuji stromový pohled v htop). Mělo by to být celkem jasné, co se tam děje.
    Hello world ! Segmentation fault (core dumped)
    Řešení 1× (Вherzet)
    26.10.2021 16:26 z_sk | skóre: 34 | blog: analyzy
    Rozbalit Rozbalit vše Re: Zabezpečení dostupných programů v shellu
    25.10.2021 16:26 MP
    Rozbalit Rozbalit vše Re: Zabezpečení dostupných programů v shellu
    Podle mne na to neexistuje reseni a asi nebudou ani placene softy na toto (mozna tak kiosk mode).

    Pokud nechcete riskovat napadeni shellu, tak je proste do shellu nepustite. Cili ten uzivatel na tom stroji nema co delat.

    Pokud je nekam potrebujete pustit, tak jim dejte VM, do ktere se pripoji.

    V ktere 3 pismenne agenture delate, ze resite/vymyslite takovy extrem?
    26.10.2021 15:33 jiwopene | skóre: 31 | blog: Od každého trochu…
    Rozbalit Rozbalit vše Re: Zabezpečení dostupných programů v shellu
    Řešení jsou v zásadě 3:
    1. neumožnit přístup do shellu,
    2. spouštět daný program s minimem oprávnění (tzn. např pod zvláštním uživatelem+skupinou), tady pomůže např. SELinux,
    3. nebo napsat si vlastní shell.
    1. možnost se týká např. připojení přes ssh nebo fyzický přístup ke stroji („kiosek“). Umožníte např jen přenos souborů (u toho ssh a jemu podobných), nebo třeba necháte běžet jednu aplikaci (kiosek), která neumožní spustit cokoliv dalšího.

    2. možnost je běžně používaná pro spouštění démonů. I kdyby v daném programu byla chyba, tak se nikam nedostane. V případě slušně nastaveného SELinux prostředí opravdu prakticky nikam, jinak typicky alespoň ke většině systémových souborů s oprávněním ke čtení.

    3. možnost je v podstatě opět ten kiosek – takto se řeší např. přístup ke Git repozitářům.

    Proč to potřebujete? Když nevíme další podrobnosti, je velmi těžké pomoci.
    .sig virus 3.2_cz: Prosím, okopírujte tento text do vaší patičky.

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.