ΠΠ·Π³ΠΎΡΠ²Π΅Π½ΠΈ ΡΠ° ΠΏΡΠΎΠ΅ΠΊΡΠ½ΠΈ ΡΠ±ΠΎΡΠΊΠΈ
ΠΡΠ½ΠΎΠ²Π½Π°ΡΠ°
- ΠΠ½ΡΡΠ°Π»ΠΈΡΠ°Π½Π΅ Π½Π° 4 Π΄ΡΠ»Π° β/β, β/bootβ, β/varβ ΠΈ β/homeβ. ΠΡΠ»ΠΎΠ²Π΅ΡΠ΅ β/β ΠΈ β/bootβ ΡΠ΅ ΠΌΠΎΠ½ΡΠΈΡΠ°Ρ Π² ΡΠ΅ΠΆΠΈΠΌ ΡΠ°ΠΌΠΎ Π·Π° ΡΠ΅ΡΠ΅Π½Π΅, Π° β/homeβ ΠΈ β/varβ ΡΠ΅ ΠΌΠΎΠ½ΡΠΈΡΠ°Ρ Π² ΡΠ΅ΠΆΠΈΠΌ noexec;
- ΠΠΎΡΠ΅ΠΊΡΠΈΡ Π½Π° ΡΠ΄ΡΠΎΡΠΎ CONFIG_SETCAP. ΠΠΎΠ΄ΡΠ»ΡΡ setcap ΠΌΠΎΠΆΠ΅ Π΄Π° Π΄Π΅Π°ΠΊΡΠΈΠ²ΠΈΡΠ° ΠΎΠΏΡΠ΅Π΄Π΅Π»Π΅Π½ΠΈ ΡΠΈΡΡΠ΅ΠΌΠ½ΠΈ Π²ΡΠ·ΠΌΠΎΠΆΠ½ΠΎΡΡΠΈ ΠΈΠ»ΠΈ Π΄Π° Π³ΠΈ Π°ΠΊΡΠΈΠ²ΠΈΡΠ° Π·Π° Π²ΡΠΈΡΠΊΠΈ ΠΏΠΎΡΡΠ΅Π±ΠΈΡΠ΅Π»ΠΈ. ΠΠΎΠ΄ΡΠ»ΡΡ ΡΠ΅ ΠΊΠΎΠ½ΡΠΈΠ³ΡΡΠΈΡΠ° ΠΎΡ ΡΡΠΏΠ΅ΡΠΏΠΎΡΡΠ΅Π±ΠΈΡΠ΅Π»Ρ, Π΄ΠΎΠΊΠ°ΡΠΎ ΡΠΈΡΡΠ΅ΠΌΠ°ΡΠ° ΡΠ°Π±ΠΎΡΠΈ ΡΡΠ΅Π· sysctl ΠΈΠ½ΡΠ΅ΡΡΠ΅ΠΉΡΠ° ΠΈΠ»ΠΈ /proc/sys/setcap ΡΠ°ΠΉΠ»ΠΎΠ²Π΅ΡΠ΅ ΠΈ ΠΌΠΎΠΆΠ΅ Π΄Π° Π±ΡΠ΄Π΅ Π·Π°ΠΌΡΠ°Π·Π΅Π½ ΠΎΡ ΠΏΡΠ°Π²Π΅Π½Π΅ Π½Π° ΠΏΡΠΎΠΌΠ΅Π½ΠΈ Π΄ΠΎ ΡΠ»Π΅Π΄Π²Π°ΡΠΎΡΠΎ ΡΠ΅ΡΡΠ°ΡΡΠΈΡΠ°Π½Π΅.
Π Π½ΠΎΡΠΌΠ°Π»Π΅Π½ ΡΠ΅ΠΆΠΈΠΌ CAP_CHOWN(0), CAP_DAC_OVERRIDE(1), CAP_DAC_READ_SEARCH(2), CAP_FOWNER(3) ΠΈ 21(CAP_SYS_ADMIN) ΡΠ° Π΄Π΅Π°ΠΊΡΠΈΠ²ΠΈΡΠ°Π½ΠΈ Π² ΡΠΈΡΡΠ΅ΠΌΠ°ΡΠ°. Π‘ΠΈΡΡΠ΅ΠΌΠ°ΡΠ° ΡΠ΅ Π²ΡΡΡΠ° Π² Π½ΠΎΡΠΌΠ°Π»Π½ΠΎΡΠΎ ΡΠΈ ΡΡΡΡΠΎΡΠ½ΠΈΠ΅ Ρ ΠΏΠΎΠΌΠΎΡΡΠ° Π½Π° ΠΊΠΎΠΌΠ°Π½Π΄Π°ΡΠ° tinyware-beforeadmin (ΠΌΠΎΠ½ΡΠΈΡΠ°Π½Π΅ ΠΈ Π²ΡΠ·ΠΌΠΎΠΆΠ½ΠΎΡΡΠΈ). ΠΡΠ· ΠΎΡΠ½ΠΎΠ²Π° Π½Π° ΠΌΠΎΠ΄ΡΠ»Π° ΠΌΠΎΠΆΠ΅ΡΠ΅ Π΄Π° ΡΠ°Π·ΡΠ°Π±ΠΎΡΠΈΡΠ΅ ΡΠ½ΠΎΠΏΠ° Π·Π° ΡΠΈΠ³ΡΡΠ½ΠΈ Π½ΠΈΠ²Π°. - ΠΡΠ½ΠΎΠ²Π½Π° ΠΊΠΎΡΠ΅ΠΊΡΠΈΡ PROC_RESTRICT_ACCESS. Π’Π°Π·ΠΈ ΠΎΠΏΡΠΈΡ ΠΎΠ³ΡΠ°Π½ΠΈΡΠ°Π²Π° Π΄ΠΎΡΡΡΠΏΠ° Π΄ΠΎ Π΄ΠΈΡΠ΅ΠΊΡΠΎΡΠΈΠΈΡΠ΅ /proc/pid Π²ΡΠ² ΡΠ°ΠΉΠ»ΠΎΠ²Π°ΡΠ° ΡΠΈΡΡΠ΅ΠΌΠ° /proc ΠΎΡ 555 Π΄ΠΎ 750, Π΄ΠΎΠΊΠ°ΡΠΎ Π³ΡΡΠΏΠ°ΡΠ° ΠΎΡ Π²ΡΠΈΡΠΊΠΈ Π΄ΠΈΡΠ΅ΠΊΡΠΎΡΠΈΠΈ Π΅ ΠΏΡΠΈΡΠ²ΠΎΠ΅Π½Π° Π½Π° root. Π‘Π»Π΅Π΄ΠΎΠ²Π°ΡΠ΅Π»Π½ΠΎ ΠΏΠΎΡΡΠ΅Π±ΠΈΡΠ΅Π»ΠΈΡΠ΅ Π²ΠΈΠΆΠ΄Π°Ρ ΡΠ°ΠΌΠΎ ΡΠ²ΠΎΠΈΡΠ΅ ΠΏΡΠΎΡΠ΅ΡΠΈ Ρ ΠΊΠΎΠΌΠ°Π½Π΄Π°ΡΠ° "ps". Root Π²ΡΠ΅ ΠΎΡΠ΅ Π²ΠΈΠΆΠ΄Π° Π²ΡΠΈΡΠΊΠΈ ΠΏΡΠΎΡΠ΅ΡΠΈ Π² ΡΠΈΡΡΠ΅ΠΌΠ°ΡΠ°.
- CONFIG_FS_ADVANCED_CHOWN ΠΊΠΎΡΠ΅ΠΊΡΠΈΡ Π½Π° ΡΠ΄ΡΠΎΡΠΎ, ΠΊΠΎΡΡΠΎ ΠΏΠΎΠ·Π²ΠΎΠ»ΡΠ²Π° Π½Π° ΠΎΠ±ΠΈΠΊΠ½ΠΎΠ²Π΅Π½ΠΈΡΠ΅ ΠΏΠΎΡΡΠ΅Π±ΠΈΡΠ΅Π»ΠΈ Π΄Π° ΠΏΡΠΎΠΌΠ΅Π½ΡΡ ΡΠΎΠ±ΡΡΠ²Π΅Π½ΠΎΡΡΡΠ° Π²ΡΡΡ Ρ ΡΠ°ΠΉΠ»ΠΎΠ²Π΅ ΠΈ ΠΏΠΎΠ΄Π΄ΠΈΡΠ΅ΠΊΡΠΎΡΠΈΠΈ Π² ΡΠ΅Ρ Π½ΠΈΡΠ΅ Π΄ΠΈΡΠ΅ΠΊΡΠΎΡΠΈΠΈ.
- ΠΡΠΊΠΎΠΈ ΠΏΡΠΎΠΌΠ΅Π½ΠΈ Π² Π½Π°ΡΡΡΠΎΠΉΠΊΠΈΡΠ΅ ΠΏΠΎ ΠΏΠΎΠ΄ΡΠ°Π·Π±ΠΈΡΠ°Π½Π΅ (Π½Π°ΠΏΡ. UMASK Π·Π°Π΄Π°Π΄Π΅Π½ Π½Π° 077).
ΠΠ·ΡΠΎΡΠ½ΠΈΠΊ: opennet.ru