{"id":55251,"date":"2020-01-16T00:00:00","date_gmt":"2020-01-15T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/fajlovye-razresheniya-v-linux"},"modified":"2020-02-18T14:03:21","modified_gmt":"2020-02-18T11:03:21","slug":"fajlovye-razresheniya-v-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/fajlovye-razresheniya-v-linux","title":{"rendered":"Dateiberechtigungen in Linux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Hallo zusammen. Wir steigen aktiv in die Arbeit ein und bereiten bereits im Januar viele leistungsstarke Starts vor. Unter anderem wurde ein neuer Kurs angeboten, der allen gefallen hat. \u201eLinux-Administrator\u201c<\/a><\/noindex>. Im Vorfeld des Starts teilen wir traditionell die \u00dcbersetzung n\u00fctzlicher Materialien.<\/i><\/p>\n

\"Dateiberechtigungen
\n<\/p>\n

Dateiberechtigungen bieten eine sichere Alternative zu SUID-executablen Dateien, k\u00f6nnen aber auf den ersten Blick etwas verwirrend erscheinen.<\/i><\/p><\/blockquote>\n

<\/a><\/noindex>
\nWir alle wissen, dass bin\u00e4re Dateien SUID<\/a><\/noindex> zu bevorzugen. eine schlechte L\u00f6sung aus sicherheitstechnischer Sicht sind.<\/a><\/noindex>Zum Gl\u00fcck gibt es einen effizienteren Weg, den Ihre Anwendung ben\u00f6tigt, n\u00e4mlich Dateiberechtigungen.<\/a><\/noindex>.<\/p>\n

Ich erspare Ihnen die Zeit, wenn Sie eine detaillierte Lekt\u00fcre des obigen Artikels vermeiden m\u00f6chten: Im Wesentlichen erm\u00f6glichen Dateiberechtigungen Prozessen, die im Namen des Root-Benutzers ausgef\u00fchrt werden und daher das Recht haben, irgendetwas zu tun, bestimmte begrenzte M\u00f6glichkeiten beizubehalten, die auf diese Liste<\/a><\/noindex>, eingeschr\u00e4nkt sind, wenn sie ihre Berechtigungen zur\u00fccksetzen und als nicht privilegierter Benutzer ausgef\u00fchrt werden. Das bedeutet, dass, wenn ein Angreifer es schafft, einen Prozess durch einen Puffer\u00fcberlauf oder einen anderen Exploit zu kompromittieren, er nur von den bestimmten minimalen Berechtigungen profitieren kann, die der Prozess wirklich ben\u00f6tigt.<\/p>\n

Berechtigungen sind hervorragend geeignet f\u00fcr Dienste, die normalerweise immer im Namen des Root-Benutzers gestartet werden, aber wie steht es um die Kommandozeilen-Utilities? Zum Gl\u00fcck wird dies ebenfalls unterst\u00fctzt, vorausgesetzt, Sie haben die richtigen Utilities installiert. Wenn Sie Ubuntu verwenden, ben\u00f6tigen Sie beispielsweise das Paket libcap2-bin<\/code>. Sie m\u00fcssen auch einen nicht-archaischen Kernel ausf\u00fchren (beginnend mit der Version 2.6.24<\/b>).<\/p>\n

Diese Funktionen erm\u00f6glichen es, Berechtigungen mit ausf\u00fchrbaren Dateien \u00e4hnlich wie das Setzen des SUID-Bits zu verkn\u00fcpfen, jedoch nur f\u00fcr eine bestimmte Menge von Berechtigungen. Das Utility setcap<\/code> wird verwendet, um Berechtigungen zu einer Datei hinzuzuf\u00fcgen oder zu entfernen.<\/p>\n

Der erste Schritt besteht darin, die ben\u00f6tigten Berechtigungen auszuw\u00e4hlen. F\u00fcr diesen Artikel nehme ich an, dass es ein Netzwerkdiagnosetool gibt, das tracewalk<\/code>, genannt wird, das in der Lage sein sollte, unverpackte Sockets<\/a><\/noindex>. Normalerweise erfordert dies, dass die Anwendung im Namen des Root-Benutzers ausgef\u00fchrt wird, aber beim Betrachten der Liste <\/a><\/noindex>Es stellt sich heraus, dass nur eine Berechtigung erforderlich ist CAP_NET_RAW<\/code>.<\/p>\n

Vorausgesetzt, Sie befinden sich im Verzeichnis, in dem sich die Bin\u00e4rdatei befindet tracewalk<\/code>, k\u00f6nnen Sie diese Berechtigung wie folgt hinzuf\u00fcgen:<\/p>\n

sudo setcap cap_net_raw=eip tracewalk<\/code><\/pre>\n
\nIgnorieren Sie vorerst das Suffix =eip<\/code> f\u00fcr die Berechtigung, ich werde gleich dar\u00fcber sprechen. Beachten Sie, dass der Name der Berechtigung in Kleinbuchstaben geschrieben ist. Jetzt k\u00f6nnen Sie \u00fcberpr\u00fcfen, ob Sie die Berechtigungen korrekt eingerichtet haben, mit:<\/p>\n
setcap -v cap_new_raw=eip tracewalk<\/code><\/pre>\n
\nOder Sie k\u00f6nnen eine Liste aller Berechtigungen anzeigen, die f\u00fcr diese ausf\u00fchrbare Datei festgelegt sind:<\/p>\n
getcap tracewalk\n<\/code><\/pre>\n
\nZur Information, Sie k\u00f6nnen auch alle Berechtigungen aus der ausf\u00fchrbaren Datei mit folgendem Befehl entfernen:<\/p>\n
setcap -r tracewalk<\/code><\/pre>\n
\nZu diesem Zeitpunkt sollten Sie in der Lage sein, die ausf\u00fchrbare Datei als nicht privilegierter Benutzer auszuf\u00fchren, und sie sollte in der Lage sein, mit Raw-Sockets zu arbeiten, jedoch keine weiteren Privilegien wie der Root-Benutzer haben.<\/p>\n
Was bedeutet also dieses seltsame Suffix? =eip<\/code>? \u0417\u0434\u0435\u0441\u044c \u043f\u043e\u0442\u0440\u0435\u0431\u0443\u0435\u0442\u0441\u044f \u0442\u043e\u043b\u0438\u043a\u0430 \u043f\u043e\u043d\u0438\u043c\u0430\u043d\u0438\u044f \u043f\u0440\u0438\u0440\u043e\u0434\u044b \u0440\u0430\u0437\u0440\u0435\u0448\u0435\u043d\u0438\u0439. \u041a\u0430\u0436\u0434\u044b\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0438\u043c\u0435\u0435\u0442 \u0442\u0440\u0438 \u043d\u0430\u0431\u043e\u0440\u0430 \u0440\u0430\u0437\u0440\u0435\u0448\u0435\u043d\u0438\u0439 \u2014 effektiv, vererbbar und verf\u00fcgbar (effective, inheritable und permitted)<\/i>:<\/p>\n