abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    včera 23:55 | Nová verze

    Heimer je v Qt napsaná desktopová aplikace pro tvorbu myšlenkových map, diagramů a poznámek. Vydána byla verze 3.0.0. Videoukázka verze 1.9.0 na YouTube.

    Ladislav Hagara | Komentářů: 0
    včera 17:11 | Zajímavý projekt

    Na stránkách LINux on MOBile je každou středu publikován týdenní přehled dění kolem Linuxu na mobilních zařízeních. V aktuálním přehledu je zmíněn například nový build 2021/11/21 Arch Linuxu ARM pro PinePhone a PineTab nebo NemoMobile 0.7.

    Ladislav Hagara | Komentářů: 0
    25.11. 21:11 | Komunita

    Mozilla ukončí podporu aplikace Firefox Lockwise pro systémy Android a iOS s účinností od 13. prosince 2021. Aplikaci Firefox Lockwise již nebude možné nainstalovat ani přeinstalovat z obchodu App Store ani Google Play.

    Ladislav Hagara | Komentářů: 7
    25.11. 20:22 | Nová verze

    Byla vydána verze 8.1.0 skriptovacího jazyka PHP používaného zejména k vývoji dynamických webových stránek. Přináší řadu novinek a vylepšení. Vydána byla také příručka pro přechod z předchozích verzí.

    Ladislav Hagara | Komentářů: 0
    25.11. 08:00 | Nová verze

    Endless OS byl vydán ve verzi 4.0.0. Přehled novinek v poznámkách k vydání. Nejnovější Endless OS vychází z Debianu Bullseye. Zdůrazněna je dlouhodobá podpora.

    Ladislav Hagara | Komentářů: 0
    24.11. 22:11 | Zajímavý projekt

    Byly vyhlášeny vítězné aplikace letošní soutěže Společně otevíráme data Nadace OSF pro neziskové aplikace postavené nad otevřenými daty v Česku. V kategorii Městská data zvítězila aplikace PragueDash. Kategorii Klima a životní prostředí ovládla aplikace Envidata. Kategorii Vzdělávání vyhrál interaktivní článek Od moru ke covidu. Nejlepší aplikací v kategorii Zdraví se stala aplikace COVID očkování.

    Ladislav Hagara | Komentářů: 8
    24.11. 22:00 | Nová verze

    Český LibreOffice tým vydal překlad příručky LibreOffice Draw 7.1. Tato kniha se zabývá hlavními funkcemi programu Draw, vektorové grafické komponenty systému LibreOffice. Pomocí Draw lze vytvářet širokou škálu grafických obrázků. Příručka je ke stažení na stránce dokumentace. Tým nyní pracuje na překladu příručky Base.

    Zdeněk Crhonek | Komentářů: 0
    24.11. 16:22 | Nová verze

    Byla vydána nová stabilní verze 3.15.0, tj. první z nové řady 3.15, minimalistické linuxové distribuce zaměřené na bezpečnost Alpine Linux (Wikipedie) postavené na standardní knihovně jazyka C musl libc a BusyBoxu.

    Ladislav Hagara | Komentářů: 0
    24.11. 14:11 | IT novinky

    Vývojových desek Arduino UNO bylo prodáno již více než 10 miliónů. Při této příležitosti bylo představeno Arduino UNO Mini Limited Edition o rozměrech 34,2 × 26,7 × 8 mm. Předobjednat jej lze za 40 eur.

    Ladislav Hagara | Komentářů: 7
    24.11. 08:00 | Komunita

    MojeFedora.cz informuje, že Amazon Linux bude postavený na Fedoře. Vycházet by měl každé dva roky a podporovaný by měl být po dobu pěti let. Představena byla ukázka Amazon Linuxu 2022 (AL2022).

    Ladislav Hagara | Komentářů: 16
    Který formát počítače (form factor) preferujete?
     (15%)
     (33%)
     (7%)
     (39%)
     (6%)
    Celkem 399 hlasů
     Komentářů: 46, poslední 24.11. 15:31
    Rozcestník



    Dotaz: Zabezpečení dostupných programů v shellu

    25.10. 08:17 alfonz
    Zabezpečení dostupných programů v shellu
    Přečteno: 683×
    Zdravím,

    chtěl bych zkusit minimalizovat riziko napadnutí programu (tzn např. spuštění vlastního programu v shellu). Používám firejail a docela se mi podařilo omezit spousty příkazů, které je možné spustit na 4 a nějaké dostupné v shellu (exec, trap etc). Nyní je v /usr/bin/ pouze
    nice
    sh
    dash
    file
    ls
    python3
    
    A to je docela dobré, ale zjistil jsem 2 nemilé věci, jedna je, že se mi nedaří omezit sh a python3 (jsou potřeba pro spuštění) a další větší problém je /lib/ld.so nebo ld-linux-x86-64.so.2 Všechny tyto věci, mohou znovu spustit nějaký jiný příkaz. Zjistil, jsem že to vypadá, že to nejde nijak ovlivnit? Protože pro první spuštění jsou potřebné, přemýšlel jsem, že bych to spustil a vždy pak smazal binárky?

    Řešil jste někdo jak zabezpečit aplikaci proti vniknutí (spuštění příkazů?)


    Řešení dotazu:


    Odpovědi

    25.10. 08:42 X
    Rozbalit Rozbalit vše Re: Zabezpečení dostupných programů v shellu
    Resis zbytecnosti. Tim, ze to takto orezes to sice znepristupnis, ale take to bude celkem nepouzitelne. Co asi dela "program v schellu", nic moc vzhledem k tomu co zbylo. Jako cviceni ok. Mimochodem shellovy skript je citelny soubor, tvoje "riziko napadnuti" = ls > tvuj_program.sh..
    25.10. 09:23 alfonz
    Rozbalit Rozbalit vše Re: Zabezpečení dostupných programů v shellu
    popravdě mě spíše vadí, že pokud se uživateli povede předhodit a spustit cizí např. již zkompilovany program, tak např. tam může být miner nebo něco horšího a tomu bych chtěl zabránit. jinak co se týče toho přesměrovánání, tak to mi zas tak moc nevadí (vzhledem k tomu, že ten program jen pro čtení a jiného uživatele)

    Jinak ano chci to co nejvíce omezit. Např. nejčastější napadaní je právě přístupný curl/wget. Snažím se mít co nejméně knihoven/programů. Avšak nevím jak vyřešit to, že pro spuštění bych např. shell potřebuji, ale poté již ho nepotřebuji. A to nevím jak vyřešit.
    25.10. 10:01 X
    Rozbalit Rozbalit vše Re: Zabezpečení dostupných programů v shellu
    pokud se uživateli povede předhodit a spustit cizí např. již zkompilovany program
    Kdo je ten uzivatel? Clovek?
    25.10. 12:55 luky
    Rozbalit Rozbalit vše Re: Zabezpečení dostupných programů v shellu
    Pokud nechcete, aby si uzivatel spoutel vlastni soubory, tak pouzijte prepinac noexec u vsech FS, kde ma uzivatel pravo zapisu. Toto zabrani jen primemu spusteni, nezabrani to napr. interpretaci.
    25.10. 15:46 alfonz
    Rozbalit Rozbalit vše Re: Zabezpečení dostupných programů v shellu
    Právě, jde o to, že někdy lidé pošlou do interpretru příkaz přímo, proto chci zakázat ld a python3/sh poté co se použije.
    Heron avatar 25.10. 16:48 Heron | skóre: 53 | blog: root_at_heron | Olomouc
    Rozbalit Rozbalit vše Re: Zabezpečení dostupných programů v shellu
    popravdě mě spíše vadí, že pokud se uživateli povede předhodit a spustit cizí např. již zkompilovany program, tak např. tam může být miner nebo něco horšího a tomu bych chtěl zabránit. jinak co se týče toho přesměrovánání, tak to mi zas tak moc nevadí (vzhledem k tomu, že ten program jen pro čtení a jiného uživatele)
    OS se většinou používá ke spouštění programů. S tím nic neuděláte. Pokud se bojíte toho, že tam někdo pustí miner, lze to řešit pomocí ulimit, cgroups, systemd. Pokud se bojíte rozesílání spamu, lze v iptables (nftables), zakázat output podle uid.
    Např. nejčastější napadaní je právě přístupný curl/wget.
    Napadání čeho? Kým? Co tím sleduje?
    Josef Kufner avatar 25.10. 09:51 Josef Kufner | skóre: 70
    Rozbalit Rozbalit vše Re: Zabezpečení dostupných programů v shellu
    Správné řešení je takovým uživatelům prostě zakázat shell.

    Případně si můžeš vytvořit vlastní shell, který bude dělat těch pár operací, které potřebuješ (dělají to tak Git repozitáře zpřístupněné po SSH, např. Gitlab či gitolite).
    Hello world ! Segmentation fault (core dumped)
    25.10. 15:50 alfonz
    Rozbalit Rozbalit vše Re: Zabezpečení dostupných programů v shellu
    zakázat shell > to by sice bylo ideální, ale jak takovou věc chcete udělat, když potřebujete alespoň spustit první program. Ano ssh omezuje příkazy > a tak to tak dělá, ale jak říkám potřebuji spustit python a pak to zakázat :)

    Jinak ssh takto používám, ale tuto situaci to imho nevyřeší ne? Jinak rbash, jsem zkoušel, ale tam nejde jednoduše omezit příkazy.
    Řešení 1× (Вherzet)
    25.10. 19:46 debian+ | skóre: 27 | blog: analyzy
    Rozbalit Rozbalit vše Re: Zabezpečení dostupných programů v shellu
    Napis si vlastny shell. Ak len potrebujes spustat jeden prikaz, tak to nie je nic tazke.
    debian.plus@protonmail.com
    25.10. 20:27 Peter Golis | skóre: 62 | blog: Bežné záležitosti | Bratislava
    Rozbalit Rozbalit vše Re: Zabezpečení dostupných programů v shellu
    A prečo by mal? Takých shellov a iných chrootov je na trhu dosť. A sú plne konfigurovateľné. Jeden z nich je napríklad scponly, a na domovskej stránke má odkazy na sesterské projekty.
    25.10. 20:41 X
    Rozbalit Rozbalit vše Re: Zabezpečení dostupných programů v shellu
    Cele je to blbost. Splacal jsi shell skript a protoze jsi si vybral tento primitivni a uzivatelsky naprosto nevhodny jazyk zacnes kvuli tomu orezavat vsechno okolo. Uplne zbytecne. Chces spustit jednen prikaz? Udelej si webovou stranku a doprostred dej tlacitko s napisem 'spustit'. Bude to plnit uplne stejnou funkci bude to dost paranoidni a nebudes muset vymyslet takove kraviny..
    Řešení 1× (OldFrog {Ondra Nemecek})
    Josef Kufner avatar 25.10. 21:35 Josef Kufner | skóre: 70
    Rozbalit Rozbalit vše Re: Zabezpečení dostupných programů v shellu
    Uživateli nastavíš v /etc/passwd tvůj vlastní shell. Ten shell je prostě jen program, klidně pár řádek v Pythonu nebo Bashi, který zkontroluje parametry a spustí tu jednu věc, kterou potřebuješ. Je to stejně jednoduché, jako napsat skript.

    Pokud to potřebuješ interaktivní, tak si pomocí readline nebo čehokoliv ten vstup načteš a zpracuješ, jak potřebuješ. Co neimplementuješ, to tam nebude.

    Pokud potřebuješ skriptování, můžeš použít Lua, nebo něco podobného, kde zpřístupníš jen to, co chceš. Je to zas o tom, že si napíšeš vlastní program, který to pořeší přesně podle tvých představ. V podstatě se pomalu dostáváš ke klient-server architektuře, kde SSH je jen transportní vrstva.
    Hello world ! Segmentation fault (core dumped)
    26.10. 08:05 alfonz
    Rozbalit Rozbalit vše Re: Zabezpečení dostupných programů v shellu
    jo tohle nezní špatně, ale díval jsem se, že např. rssh nebo lshell již nejsou součástí debianu a jediné co zůstává je rbash. Máte nějakou ukázku, jak by takový skript měl reálně vypadat, jde o to, že jsem se díval např. na forceCommand v ssh a není to úplně přímočaré.

    Našel jsem něco jako https://metacpan.org/release/DERF/ssh-forcecommand-1.0/source/bin/ssh-forcecommand Ještě asi zkusím hledat dál.

    Díky za info.
    Josef Kufner avatar 26.10. 13:02 Josef Kufner | skóre: 70
    Rozbalit Rozbalit vše Re: Zabezpečení dostupných programů v shellu
    Mělo by to vypadat stejně jako jakýkoliv jiný program pro příkazový řádek. Podívej se na ukázku jakékoliv knihovny pro parsování parametrů z příkazové řádky a máš to.

    Založ si testovacího uživatele, nastav mu svůj program jako shell a nech ten program vypsat, co dostal jako parametry. Klidně si tam přidej nějaký pár sekundový delay a koukni na spuštěné procesy (doporučuji stromový pohled v htop). Mělo by to být celkem jasné, co se tam děje.
    Hello world ! Segmentation fault (core dumped)
    Řešení 1× (Вherzet)
    26.10. 16:26 debian+ | skóre: 27 | blog: analyzy
    Rozbalit Rozbalit vše Re: Zabezpečení dostupných programů v shellu
    25.10. 16:26 MP
    Rozbalit Rozbalit vše Re: Zabezpečení dostupných programů v shellu
    Podle mne na to neexistuje reseni a asi nebudou ani placene softy na toto (mozna tak kiosk mode).

    Pokud nechcete riskovat napadeni shellu, tak je proste do shellu nepustite. Cili ten uzivatel na tom stroji nema co delat.

    Pokud je nekam potrebujete pustit, tak jim dejte VM, do ktere se pripoji.

    V ktere 3 pismenne agenture delate, ze resite/vymyslite takovy extrem?
    26.10. 15:33 jiwopene | skóre: 29 | blog: Od každého trochu…
    Rozbalit Rozbalit vše Re: Zabezpečení dostupných programů v shellu
    Řešení jsou v zásadě 3:
    1. neumožnit přístup do shellu,
    2. spouštět daný program s minimem oprávnění (tzn. např pod zvláštním uživatelem+skupinou), tady pomůže např. SELinux,
    3. nebo napsat si vlastní shell.
    1. možnost se týká např. připojení přes ssh nebo fyzický přístup ke stroji („kiosek“). Umožníte např jen přenos souborů (u toho ssh a jemu podobných), nebo třeba necháte běžet jednu aplikaci (kiosek), která neumožní spustit cokoliv dalšího.

    2. možnost je běžně používaná pro spouštění démonů. I kdyby v daném programu byla chyba, tak se nikam nedostane. V případě slušně nastaveného SELinux prostředí opravdu prakticky nikam, jinak typicky alespoň ke většině systémových souborů s oprávněním ke čtení.

    3. možnost je v podstatě opět ten kiosek – takto se řeší např. přístup ke Git repozitářům.

    Proč to potřebujete? Když nevíme další podrobnosti, je velmi těžké pomoci.
    .sig virus 3.2_cz: Prosím, okopírujte tento text do vaší patičky.

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.