Dotaz: Zabezpečení dostupných programů v shellu

[alfonz]

Zdravím,

chtěl bych zkusit minimalizovat riziko napadnutí programu (tzn např. spuštění vlastního programu v shellu). Používám firejail a docela se mi podařilo omezit spousty příkazů, které je možné spustit na 4 a nějaké dostupné v shellu (exec, trap etc). Nyní je v /usr/bin/ pouze

nice
sh
dash
file
ls
python3

A to je docela dobré, ale zjistil jsem 2 nemilé věci, jedna je, že se mi nedaří omezit sh a python3 (jsou potřeba pro spuštění) a další větší problém je /lib/ld.so nebo ld-linux-x86-64.so.2 Všechny tyto věci, mohou znovu spustit nějaký jiný příkaz. Zjistil, jsem že to vypadá, že to nejde nijak ovlivnit? Protože pro první spuštění jsou potřebné, přemýšlel jsem, že bych to spustil a vždy pak smazal binárky?

Řešil jste někdo jak zabezpečit aplikaci proti vniknutí (spuštění příkazů?)

---

---

Odpovědi

[X]

Resis zbytecnosti. Tim, ze to takto orezes to sice znepristupnis, ale take to bude celkem nepouzitelne. Co asi dela "program v schellu", nic moc vzhledem k tomu co zbylo. Jako cviceni ok. Mimochodem shellovy skript je citelny soubor, tvoje "riziko napadnuti" = ls > tvuj_program.sh..

[alfonz]

popravdě mě spíše vadí, že pokud se uživateli povede předhodit a spustit cizí např. již zkompilovany program, tak např. tam může být miner nebo něco horšího a tomu bych chtěl zabránit. jinak co se týče toho přesměrovánání, tak to mi zas tak moc nevadí (vzhledem k tomu, že ten program jen pro čtení a jiného uživatele)

Jinak ano chci to co nejvíce omezit. Např. nejčastější napadaní je právě přístupný curl/wget. Snažím se mít co nejméně knihoven/programů. Avšak nevím jak vyřešit to, že pro spuštění bych např. shell potřebuji, ale poté již ho nepotřebuji. A to nevím jak vyřešit.

[X]

pokud se uživateli povede předhodit a spustit cizí např. již zkompilovany program

Kdo je ten uzivatel? Clovek?

[luky]

Pokud nechcete, aby si uzivatel spoutel vlastni soubory, tak pouzijte prepinac noexec u vsech FS, kde ma uzivatel pravo zapisu. Toto zabrani jen primemu spusteni, nezabrani to napr. interpretaci.

[alfonz]

Právě, jde o to, že někdy lidé pošlou do interpretru příkaz přímo, proto chci zakázat ld a python3/sh poté co se použije.

[Heron]

popravdě mě spíše vadí, že pokud se uživateli povede předhodit a spustit cizí např. již zkompilovany program, tak např. tam může být miner nebo něco horšího a tomu bych chtěl zabránit. jinak co se týče toho přesměrovánání, tak to mi zas tak moc nevadí (vzhledem k tomu, že ten program jen pro čtení a jiného uživatele)

OS se většinou používá ke spouštění programů. S tím nic neuděláte. Pokud se bojíte toho, že tam někdo pustí miner, lze to řešit pomocí ulimit, cgroups, systemd. Pokud se bojíte rozesílání spamu, lze v iptables (nftables), zakázat output podle uid.

Např. nejčastější napadaní je právě přístupný curl/wget.

Napadání čeho? Kým? Co tím sleduje?

[Josef Kufner]

Správné řešení je takovým uživatelům prostě zakázat shell.

Případně si můžeš vytvořit vlastní shell, který bude dělat těch pár operací, které potřebuješ (dělají to tak Git repozitáře zpřístupněné po SSH, např. Gitlab či gitolite).

[alfonz]

zakázat shell > to by sice bylo ideální, ale jak takovou věc chcete udělat, když potřebujete alespoň spustit první program. Ano ssh omezuje příkazy > a tak to tak dělá, ale jak říkám potřebuji spustit python a pak to zakázat :)

Jinak ssh takto používám, ale tuto situaci to imho nevyřeší ne? Jinak rbash, jsem zkoušel, ale tam nejde jednoduše omezit příkazy.

[Вherzet]

Napis si vlastny shell. Ak len potrebujes spustat jeden prikaz, tak to nie je nic tazke.

[Peter Golis]

A prečo by mal? Takých shellov a iných chrootov je na trhu dosť. A sú plne konfigurovateľné. Jeden z nich je napríklad scponly, a na domovskej stránke má odkazy na sesterské projekty.

[X]

Cele je to blbost. Splacal jsi shell skript a protoze jsi si vybral tento primitivni a uzivatelsky naprosto nevhodny jazyk zacnes kvuli tomu orezavat vsechno okolo. Uplne zbytecne. Chces spustit jednen prikaz? Udelej si webovou stranku a doprostred dej tlacitko s napisem 'spustit'. Bude to plnit uplne stejnou funkci bude to dost paranoidni a nebudes muset vymyslet takove kraviny..

[OldFrog {Ondra Nemecek}]

Uživateli nastavíš v /etc/passwd tvůj vlastní shell. Ten shell je prostě jen program, klidně pár řádek v Pythonu nebo Bashi, který zkontroluje parametry a spustí tu jednu věc, kterou potřebuješ. Je to stejně jednoduché, jako napsat skript.

Pokud to potřebuješ interaktivní, tak si pomocí readline nebo čehokoliv ten vstup načteš a zpracuješ, jak potřebuješ. Co neimplementuješ, to tam nebude.

Pokud potřebuješ skriptování, můžeš použít Lua, nebo něco podobného, kde zpřístupníš jen to, co chceš. Je to zas o tom, že si napíšeš vlastní program, který to pořeší přesně podle tvých představ. V podstatě se pomalu dostáváš ke klient-server architektuře, kde SSH je jen transportní vrstva.

[alfonz]

jo tohle nezní špatně, ale díval jsem se, že např. rssh nebo lshell již nejsou součástí debianu a jediné co zůstává je rbash. Máte nějakou ukázku, jak by takový skript měl reálně vypadat, jde o to, že jsem se díval např. na forceCommand v ssh a není to úplně přímočaré.

Našel jsem něco jako https://metacpan.org/release/DERF/ssh-forcecommand-1.0/source/bin/ssh-forcecommand Ještě asi zkusím hledat dál.

Díky za info.

[Josef Kufner]

Mělo by to vypadat stejně jako jakýkoliv jiný program pro příkazový řádek. Podívej se na ukázku jakékoliv knihovny pro parsování parametrů z příkazové řádky a máš to.

Založ si testovacího uživatele, nastav mu svůj program jako shell a nech ten program vypsat, co dostal jako parametry. Klidně si tam přidej nějaký pár sekundový delay a koukni na spuštěné procesy (doporučuji stromový pohled v htop). Mělo by to být celkem jasné, co se tam děje.

[Вherzet]

https://www.abclinuxu.cz/blog/analyza_greenie_20_04/2021/10/the-simple-custom-shell

[MP]

Podle mne na to neexistuje reseni a asi nebudou ani placene softy na toto (mozna tak kiosk mode).

Pokud nechcete riskovat napadeni shellu, tak je proste do shellu nepustite. Cili ten uzivatel na tom stroji nema co delat.

Pokud je nekam potrebujete pustit, tak jim dejte VM, do ktere se pripoji.

V ktere 3 pismenne agenture delate, ze resite/vymyslite takovy extrem?

[jiwopene]

Řešení jsou v zásadě 3:

1. neumožnit přístup do shellu,
2. spouštět daný program s minimem oprávnění (tzn. např pod zvláštním uživatelem+skupinou), tady pomůže např. SELinux,
3. nebo napsat si vlastní shell.

1. možnost se týká např. připojení přes ssh nebo fyzický přístup ke stroji („kiosek“). Umožníte např jen přenos souborů (u toho ssh a jemu podobných), nebo třeba necháte běžet jednu aplikaci (kiosek), která neumožní spustit cokoliv dalšího.

2. možnost je běžně používaná pro spouštění démonů. I kdyby v daném programu byla chyba, tak se nikam nedostane. V případě slušně nastaveného SELinux prostředí opravdu prakticky nikam, jinak typicky alespoň ke většině systémových souborů s oprávněním ke čtení.

3. možnost je v podstatě opět ten kiosek – takto se řeší např. přístup ke Git repozitářům.

Proč to potřebujete? Když nevíme další podrobnosti, je velmi těžké pomoci.