{"id":55251,"date":"2020-01-16T00:00:00","date_gmt":"2020-01-15T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/fajlovye-razresheniya-v-linux"},"modified":"2020-02-18T14:03:21","modified_gmt":"2020-02-18T11:03:21","slug":"fajlovye-razresheniya-v-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/fajlovye-razresheniya-v-linux","title":{"rendered":"Dateiberechtigungen in Linux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Hallo zusammen. Wir arbeiten aktiv an neuen Projekten und bereiten viele spannende Neugestaltungen f\u00fcr Januar vor. Unter anderem haben wir einen neuen Kurs, der bei allen sehr beliebt ist, angek\u00fcndigt. \u201eLinux-Administrator\u201c<\/a><\/noindex>Vor dem Start teilen wir traditionell eine \u00dcbersetzung von n\u00fctzlichem Material.<\/i><\/p>\n

\"Dateiberechtigungen
\n<\/p>\n

Dateiberechtigungen bieten eine sichere Alternative zu SUID-exe-Dateien, k\u00f6nnen jedoch auf den ersten Blick etwas verwirrend erscheinen.<\/i><\/p><\/blockquote>\n

<\/a><\/noindex>
\nWir alle wissen, dass Bin\u00e4rdateien SUID<\/a><\/noindex> folgende eine schlechte Sicherheitsentscheidung sind.<\/a><\/noindex>Gl\u00fccklicherweise gibt es einen effizienteren Weg, wenn Ihre Anwendung einige eingeschr\u00e4nkte Berechtigungen ben\u00f6tigt, genannt Dateiberechtigungen.<\/a><\/noindex>.<\/p>\n

Ich werde Ihnen Zeit sparen, wenn Sie detailliertes Lesen des vorherigen Artikels vermeiden m\u00f6chten: Im Wesentlichen erm\u00f6glichen Dateiberechtigungen Prozessen, die im Namen des Root-Benutzers ausgef\u00fchrt werden und daher berechtigt sind, etwas zu tun, bestimmte M\u00f6glichkeiten beizubehalten, die durch diese Liste begrenzt sind.<\/a><\/noindex>, wenn sie Berechtigungen zur\u00fccksetzen und als nicht privilegierter Benutzer ausgef\u00fchrt werden. Das bedeutet, dass ein Angreifer, selbst wenn er es schafft, einen Prozess durch einen Buffer Overflow oder einen anderen Exploit zu kompromittieren, nichts weiter nutzen kann als die spezifischen minimalen Berechtigungen, die wirklich f\u00fcr den Prozess erforderlich sind.<\/p>\n

Berechtigungen eignen sich hervorragend f\u00fcr Dienste, die in der Regel immer als root-Benutzer ausgef\u00fchrt werden, aber wie sieht es mit Befehlszeilen-Utilities aus? Gl\u00fccklicherweise wird das ebenfalls unterst\u00fctzt, solange Sie die richtigen Tools installiert haben. Wenn Sie Ubuntu verwenden, ben\u00f6tigen Sie zum Beispiel das Paket libcap2-bin<\/code>. Sie m\u00fcssen au\u00dferdem ein nicht veraltetes Kernel verwenden (ab Version 2.6.24<\/b>).<\/p>\n

). Diese Funktionen erm\u00f6glichen es, Berechtigungen an ausf\u00fchrbare Dateien zu binden, \u00e4hnlich wie beim Setzen des SUID-Bits, jedoch f\u00fcr eine bestimmte Berechtigungssatz. Das Tool setcap<\/code> wird verwendet, um Berechtigungen zu einer Datei hinzuzuf\u00fcgen und zu entfernen.<\/p>\n

Der erste Schritt besteht darin, die gew\u00fcnschten Berechtigungen auszuw\u00e4hlen. F\u00fcr diesen Artikel nehme ich an, dass es ein Netzwerkdiagnosetool namens tracewalk<\/code>gibt, das in der Lage sein sollte, verwendet zu werden. unverarbeitete Sockets<\/a><\/noindex>. Normalerweise ist es erforderlich, dass die Anwendung als root-Benutzer ausgef\u00fchrt wird, aber beim \u00dcberpr\u00fcfen der Liste <\/a><\/noindex>stellt sich heraus, dass nur die Berechtigung erforderlich ist CAP_NET_RAW<\/code>.<\/p>\n

Vorausgesetzt, Sie befinden sich im Verzeichnis, in dem sich die ausf\u00fchrbare Datei befindet tracewalk<\/code>, k\u00f6nnen Sie diese Berechtigung wie folgt hinzuf\u00fcgen:<\/p>\n

sudo setcap cap_net_raw=eip tracewalk<\/code><\/pre>\n
\nIgnorieren Sie vorerst das Suffix =eip<\/code> f\u00fcr die Berechtigung, dazu erz\u00e4hle ich Ihnen in ein paar Sekunden mehr. Bitte beachten Sie, dass der Name der Berechtigung in Kleinbuchstaben ist. Nun k\u00f6nnen Sie \u00fcberpr\u00fcfen, ob Sie die Berechtigungen korrekt eingerichtet haben, mit:<\/p>\n
setcap -v cap_new_raw=eip tracewalk<\/code><\/pre>\n
\nOder Sie k\u00f6nnen eine Liste aller Berechtigungen, die f\u00fcr die betreffende ausf\u00fchrbare Datei festgelegt wurden, ausgeben:<\/p>\n
getcap tracewalk\n<\/code><\/pre>\n
\nZur Information: Sie k\u00f6nnen auch alle Berechtigungen von der ausf\u00fchrbaren Datei mit folgendem Befehl entfernen:<\/p>\n
setcap -r tracewalk<\/code><\/pre>\n
\nAn diesem Punkt sollten Sie in der Lage sein, die ausf\u00fchrbare Datei als nicht privilegierter Benutzer auszuf\u00fchren, und sie sollte in der Lage sein, mit unverarbeiteten Sockets zu arbeiten, ohne \u00fcber andere Privilegien zu verf\u00fcgen, die der root-Benutzer hat.<\/p>\n
Also, was bedeutet dieses seltsame Suffix? =eip<\/code>? \u0417\u0434\u0435\u0441\u044c \u043f\u043e\u0442\u0440\u0435\u0431\u0443\u0435\u0442\u0441\u044f \u0442\u043e\u043b\u0438\u043a\u0430 \u043f\u043e\u043d\u0438\u043c\u0430\u043d\u0438\u044f \u043f\u0440\u0438\u0440\u043e\u0434\u044b \u0440\u0430\u0437\u0440\u0435\u0448\u0435\u043d\u0438\u0439. \u041a\u0430\u0436\u0434\u044b\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0438\u043c\u0435\u0435\u0442 \u0442\u0440\u0438 \u043d\u0430\u0431\u043e\u0440\u0430 \u0440\u0430\u0437\u0440\u0435\u0448\u0435\u043d\u0438\u0439 \u2014 effektive, vererbbare und erlaubte (effective, inheritable und permitted)<\/i>:<\/p>\n