{"id":78514,"date":"2020-04-20T01:42:32","date_gmt":"2020-04-19T23:42:32","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/kak-zashhishhat-proczessy-i-rasshireniya-yadra-v-macos"},"modified":"2020-04-20T01:42:32","modified_gmt":"2020-04-19T23:42:32","slug":"kak-zashhishhat-proczessy-i-rasshireniya-yadra-v-macos","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/kak-zashhishhat-proczessy-i-rasshireniya-yadra-v-macos","title":{"rendered":"Hogyan v\u00e9dj\u00fck a folyamatokat \u00e9s a kernel kiterjeszt\u00e9seit macOS-en","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Hell\u00f3, Habr! Ma arr\u00f3l szeretn\u00e9k besz\u00e9lni, hogy mik\u00e9nt lehet megv\u00e9deni a folyamatokat a rosszindulat\u00fa t\u00e1mad\u00e1sokt\u00f3l macOS-en. P\u00e9ld\u00e1ul ez hasznos lehet egy v\u00edrusirt\u00f3 vagy biztons\u00e1gi ment\u00e9si rendszer sz\u00e1m\u00e1ra, k\u00fcl\u00f6n\u00f6sen figyelembe v\u00e9ve, hogy a macOS-en t\u00f6bb m\u00f3dszer is l\u00e9tezik a folyamat \"meg\u00f6l\u00e9s\u00e9re\". Err\u0151l \u00e9s a v\u00e9delmi m\u00f3dszerekr\u0151l olvashattok a tov\u00e1bb m\u00f6g\u00f6tt.<\/p>\n

\"Hogyan<\/a><\/noindex>
\n<\/a><\/noindex><\/p>\n

A klasszikus m\u00f3dszer \"meg\u00f6lni\" a folyamatot<\/h3>\n

\nMindenki sz\u00e1m\u00e1ra ismert m\u00f3dja a folyamat \"meg\u00f6l\u00e9s\u00e9nek\" az, hogy SIGKILL jelet k\u00fcld\u00fcnk a folyamatnak. Bash alatt a szabv\u00e1nyos \"kill -SIGKILL PID\" vagy \"pkill -9 NAME\" parancsok haszn\u00e1lhat\u00f3k a meg\u00f6l\u00e9shez. A \"kill\" parancs m\u00e1r az UNIX kor\u00e1ban ismert volt, \u00e9s nemcsak a macOS-en, hanem m\u00e1s UNIX-szer\u0171 rendszereken is el\u00e9rhet\u0151.<\/p>\n

Ahogy a UNIX-szer\u0171 rendszerekben, a macOS lehet\u0151v\u00e9 teszi, hogy b\u00e1rmilyen jelet elfogj a folyamat sz\u00e1m\u00e1ra, kiv\u00e9ve kett\u0151t: SIGKILL \u00e9s SIGSTOP. Ebben a cikkben els\u0151sorban a SIGKILL jel fog szerepelni, mint a folyamat meg\u00f6l\u00e9s\u00e9t kiv\u00e1lt\u00f3 jel.<\/p>\n

A macOS saj\u00e1toss\u00e1gai
\n<\/h3>\n

\nA macOS rendszeren a kill rendszerh\u00edv\u00e1s az XNU kernelben a psignal(SIGKILL,…) f\u00fcggv\u00e9nyt h\u00edvja meg. N\u00e9zz\u00fck meg, milyen m\u00e1s felhaszn\u00e1l\u00f3i esem\u00e9nyek a userspace-ben h\u00edvhatj\u00e1k meg a psignal f\u00fcggv\u00e9nyt. Kiz\u00e1rjuk a psignal f\u00fcggv\u00e9ny h\u00edv\u00e1sait a kernel bels\u0151 mechanizmusaiban (b\u00e1r ezek sem trivi\u00e1lisak, de ezeket egy m\u00e1sik cikkre hagyjuk \ud83d\ude42 \u2014 al\u00e1\u00edr\u00e1s ellen\u0151rz\u00e9se, mem\u00f3riahib\u00e1k, exit\/terminate kezel\u00e9s, f\u00e1jlv\u00e9delmi megs\u00e9rt\u00e9s, stb. <\/p>\n

N\u00e9zz\u00fck meg a funkci\u00f3t \u00e9s a megfelel\u0151 rendszerh\u00edv\u00e1st terminate_with_payload<\/a><\/noindex>. L\u00e1that\u00f3, hogy a klasszikus kill h\u00edv\u00e1s mellett l\u00e9tezik egy alternat\u00edv megk\u00f6zel\u00edt\u00e9s, amely kifejezetten a macOS oper\u00e1ci\u00f3s rendszerre jellemz\u0151, \u00e9s nem fordul el\u0151 a BSD-ben. Mindk\u00e9t rendszerh\u00edv\u00e1s m\u0171k\u00f6d\u00e9si elve is hasonl\u00f3. Ezek a psignal kernelfunkci\u00f3 k\u00f6zvetlen h\u00edv\u00e1sait jelentik. \u00c9rdemes megjegyezni, hogy a folyamat meg\u00f6l\u00e9se el\u0151tt t\u00f6rt\u00e9nik egy \"cansignal\" ellen\u0151rz\u00e9s \u2013 a rendszer nem engedi, hogy b\u00e1rmely alkalmaz\u00e1s meg\u00f6lje a rendszerfolyamatokat.<\/p>\n

static int\nterminate_with_payload_internal(struct proc *cur_proc, int target_pid, uint32_t reason_namespace,\n\t\t\t\tuint64_t reason_code, user_addr_t payload, uint32_t payload_size,\n\t\t\t\tuser_addr_t reason_string, uint64_t reason_flags)\n{\n...\n\ttarget_proc = proc_find(target_pid);\n...\n\tif (!cansignal(cur_proc, cur_cred, target_proc, SIGKILL)) {\n\t\tproc_rele(target_proc);\n\t\treturn EPERM;\n\t}\n...\n\tif (target_pid == cur_proc->p_pid) {\n\t\t\/*\n\t\t * psignal_thread_with_reason() will pend a SIGKILL on the specified thread or\n\t\t * return if the thread and\/or task are already terminating. Either way, the\n\t\t * current thread won't return to userspace.\n\t\t * \/\n\t\tpsignal_thread_with_reason(target_proc, current_thread(), SIGKILL, signal_reason);\n\t} else {\n\t\tpsignal_with_reason(target_proc, SIGKILL, signal_reason);\n\t}\n...\n}\n<\/code><\/pre>\n
<\/p>\n
launchd<\/h3>\n
\nA rendszerind\u00edt\u00e1skor ind\u00edtott d\u00e9monok l\u00e9trehoz\u00e1s\u00e1nak \u00e9s \u00e9letciklusuk fennmarad\u00e1s\u00e1nak standard m\u00f3dja a launchd. Felh\u00edvom a figyelmet arra, hogy a forr\u00e1sok a r\u00e9gi launchctl verzi\u00f3hoz k\u00e9sz\u00fcltek macOS 10.10 el\u0151tt, a k\u00f3dp\u00e9ld\u00e1k illusztr\u00e1ci\u00f3k\u00e9nt szolg\u00e1lnak. A modern launchctl az XPC-n kereszt\u00fcl k\u00fcldi el a jeleket a launchd-nek, a launchctl logik\u00e1j\u00e1t pedig \u00e1tvitt\u00e9k hozz\u00e1.<\/p>\n
N\u00e9zz\u00fck meg, hogyan t\u00f6rt\u00e9nik az alkalmaz\u00e1sok le\u00e1ll\u00edt\u00e1sa. A SIGTERM jelz\u00e9s k\u00fcld\u00e9se el\u0151tt az alkalmaz\u00e1st megpr\u00f3b\u00e1lj\u00e1k le\u00e1ll\u00edtani a \"proc_terminate\" rendszerh\u00edv\u00e1s seg\u00edts\u00e9g\u00e9vel.<\/p>\n
...\n\terror = proc_terminate(j->p, &sig);\n\tif (error) {\n\t\tjob_log(j, LOG_ERR | LOG_CONSOLE, \"Nem siker\u00fclt le\u00e1ll\u00edtani a feladatot: %d: %s\", error, strerror(error));\n\t\tjob_log(j, LOG_NOTICE | LOG_CONSOLE, \"Fallback opci\u00f3t haszn\u00e1lunk a feladat le\u00e1ll\u00edt\u00e1s\u00e1hoz...\");\n\t\terror = kill2(j->p, SIGTERM);\n\t\tif (error) {\n\t\t\tjob_log(j, LOG_ERR, \"Nem siker\u00fclt jelezni a feladatnak: %d: %s\", error, strerror(error));\n\t\t} \n...\n<\/code><\/pre>\n
\nA proc_terminate a neve ellen\u00e9re a SIGTERM mellet psignal k\u00fcld\u00e9s\u00e9re is k\u00e9pes, s\u0151t SIGKILL-ra is.<\/p>\n
K\u00f6zvetett le\u00f6l\u00e9s \u2014 er\u0151forr\u00e1s-korl\u00e1toz\u00e1s<\/h3>\n
\nEgy \u00e9rdekesebb esetet l\u00e1thatunk egy m\u00e1sik rendszerh\u00edv\u00e1sn\u00e1l process_policy<\/a><\/noindex>. A rendszerh\u00edv\u00e1s standard haszn\u00e1lata az alkalmaz\u00e1sok er\u0151forr\u00e1sainak korl\u00e1toz\u00e1sa, p\u00e9ld\u00e1ul egy indexel\u0151 eset\u00e9ben a processzorid\u0151 \u00e9s a mem\u00f3ria kv\u00f3t\u00e1j\u00e1nak korl\u00e1toz\u00e1sa, hogy a rendszer ne lassuljon le a f\u00e1jlok gyors\u00edt\u00f3t\u00e1raz\u00e1sa miatt. Ha az alkalmaz\u00e1s el\u00e9rte az er\u0151forr\u00e1s-korl\u00e1toz\u00e1st, mint ahogy azt a proc_apply_resource_actions f\u00fcggv\u00e9nyb\u0151l l\u00e1thatjuk, akkor a folyamatnak SIGKILL jelet k\u00fcldenek.<\/p>\n
B\u00e1r ez a rendszerh\u00edv\u00e1s potenci\u00e1lisan k\u00e9pes a folyamat meg\u00f6l\u00e9s\u00e9re, a rendszer nem ellen\u0151rizte megfelel\u0151en a h\u00edv\u00f3 folyamat jogait. Val\u00f3j\u00e1ban a vizsg\u00e1lat l\u00e9tezett<\/a><\/noindex>, de elegend\u0151 az alternat\u00edv PROC_POLICY_ACTION_SET jelz\u0151t haszn\u00e1lni ennek a felt\u00e9telnek a megker\u00fcl\u00e9s\u00e9hez.<\/p>\n
Ha a CPU haszn\u00e1lati kv\u00f3t\u00e1t \u201ekorl\u00e1tozzuk\u201d egy alkalmaz\u00e1s sz\u00e1m\u00e1ra (p\u00e9ld\u00e1ul csak 1 ns v\u00e9grehajt\u00e1st enged\u00e9lyezve), akkor b\u00e1rmely folyamatot meg\u00f6lhet\u00fcnk a rendszerben. \u00cdgy a k\u00e1rt\u00e9kony program b\u00e1rmely folyamatot meg\u00f6lhet a rendszeren, bele\u00e9rtve a v\u00edruskeres\u0151 folyamatot is. \u00c9rdekes hat\u00e1s figyelhet\u0151 meg a 1 pid-\u0171 folyamat (launchctl) meg\u00f6l\u00e9sekor - kernel p\u00e1nik l\u00e9p fel a SIGKILL jelz\u00e9s feldolgoz\u00e1sa sor\u00e1n \ud83d\ude42<\/p>\n
\"Hogyan
\n<\/p>\n
Hogyan oldhat\u00f3 meg a probl\u00e9ma?<\/h3>\n
\nA legk\u00e9zenfekv\u0151bb m\u00f3dja, hogy megakad\u00e1lyozzuk a folyamat meg\u00f6l\u00e9s\u00e9t, az, hogy fel\u00fcl\u00edrjuk a f\u00fcggv\u00e9ny mutat\u00f3j\u00e1t a rendszerh\u00edv\u00e1sok t\u00e1bl\u00e1zat\u00e1ban. Sajnos ez a m\u00f3dszer sok okb\u00f3l nem trivi\u00e1lis.<\/p>\n
El\u0151sz\u00f6r is, a mem\u00f3ri\u00e1ban a sysent hely\u00e9t jelz\u0151 szimb\u00f3lum nemcsak a XNU mag\u00e1hoz tartoz\u00f3 priv\u00e1t szimb\u00f3lum, hanem nem tal\u00e1lhat\u00f3 meg a mag szimb\u00f3lumai k\u00f6z\u00f6tt sem. Heurisztikus keres\u00e9si m\u00f3dszereket kell alkalmazni, p\u00e9ld\u00e1ul a f\u00fcggv\u00e9ny dinamikus disassembl\u00e1l\u00e1s\u00e1t \u00e9s a mutat\u00f3 keres\u00e9s\u00e9t benne.<\/p>\n
M\u00e1sodsorban, a t\u00e1bl\u00e1zat rekordstrukt\u00far\u00e1ja a mag \u00f6ssze\u00e1ll\u00edt\u00e1s\u00e1hoz haszn\u00e1lt z\u00e1szl\u00f3kt\u00f3l f\u00fcgg. Ha a CONFIG_REQUIRES_U32_MUNGING z\u00e1szl\u00f3 be van jelentve, a strukt\u00fara m\u00e9rete megv\u00e1ltozik - egy tov\u00e1bbi mez\u0151 ker\u00fcl hozz\u00e1ad\u00e1sra. sy_arg_munge32<\/a><\/noindex>. Tov\u00e1bbi ellen\u0151rz\u00e9st kell v\u00e9gezni arra vonatkoz\u00f3an, hogy mely z\u00e1szl\u00f3val lett a mag \u00f6ssze\u00e1ll\u00edtva, p\u00e9ld\u00e1ul \u00f6sszevetve a funkci\u00f3k mutat\u00f3it a k\u00f6zismert mutat\u00f3kkal.<\/p>\n
struct sysent {         \n        \/* system call table *\/\n        sy_call_t       *sy_call;       \/* implementing function *\/\n#if CONFIG_REQUIRES_U32_MUNGING || (__arm__ && (__BIGGEST_ALIGNMENT__ > 4))\n        sy_munge_t      *sy_arg_munge32; \/* system call arguments munger for 32-bit process *\/\n#endif\n        int32_t         sy_return_type; \/* system call return types *\/\n        int16_t         sy_narg;        \/* number of args *\/\n        uint16_t        sy_arg_bytes;   \/* Total size of arguments in bytes for\n                                         \/* 32-bit system calls\n                                         *\/\n};\n<\/code><\/pre>\n
\nSzerencs\u00e9re a modern macOS verzi\u00f3kban az Apple \u00faj API-t k\u00edn\u00e1l a folyamatokkal val\u00f3 munk\u00e1ra. Az Endpoint Security API lehet\u0151v\u00e9 teszi az \u00fcgyfelek sz\u00e1m\u00e1ra, hogy sok k\u00e9rd\u00e9st enged\u00e9lyezzenek m\u00e1s folyamatokhoz. \u00cdgy b\u00e1rmilyen jelz\u00e9s blokkolhat\u00f3 a folyamatok sz\u00e1m\u00e1ra, bele\u00e9rtve a SIGKILL jelz\u00e9st is a fent eml\u00edtett API seg\u00edts\u00e9g\u00e9vel.<\/p>\n
#include <bsm\/libbsm.h>\n#include <EndpointSecurity\/EndpointSecurity.h>\n#include <unistd.h>\n\nint main(int argc, const char * argv[]) {\n    es_client_t* cli = nullptr;\n    {\n        auto res = es_new_client(&cli, ^(es_client_t * client, const es_message_t * message) {\n            switch (message->event_type) {\n                case ES_EVENT_TYPE_AUTH_SIGNAL:\n                {\n                    auto& msg = message->event.signal;\n                    auto target = msg.target;\n                    auto& token = target->audit_token;\n                    auto pid = audit_token_to_pid(token);\n                    printf("signal '%d' sent to pid '%d'n", msg.sig, pid);\n                    es_respond_auth_result(client, message, pid == getpid() ? ES_AUTH_RESULT_DENY : ES_AUTH_RESULT_ALLOW, false);\n                }\n                    break;\n                default:\n                    break;\n            }\n        });\n    }\n\n    {\n        es_event_type_t evs[] = { ES_EVENT_TYPE_AUTH_SIGNAL };\n        es_subscribe(cli, evs, sizeof(evs) \/ sizeof(*evs));\n    }\n\n    printf("%dn", getpid());\n    sleep(60); \/\/ could be replaced with other waiting primitive\n\n    es_unsubscribe_all(cli);\n    es_delete_client(cli);\n\n    return 0;\n}\n<\/code><\/pre>\n
\nHasonl\u00f3k\u00e9ppen, a magban regisztr\u00e1lhatunk MAC Policy-t, amely v\u00e9delmi m\u00f3dszert biztos\u00edt a jelz\u00e9sek ellen (policy proc_check_signal), azonban az API hivatalosan nem t\u00e1mogatott.<\/p>\n
A kernel kiterjeszt\u00e9s v\u00e9delme<\/h3>\n
\nA rendszerfolyamatok v\u00e9delme mellett alapvet\u0151 fontoss\u00e1g\u00fa a kernel kiterjeszt\u00e9s (kext) v\u00e9delme is. A macOS a fejleszt\u0151k sz\u00e1m\u00e1ra egy keretet biztos\u00edt az IOKit eszk\u00f6zmeghajt\u00f3k k\u00e9nyelmes fejleszt\u00e9s\u00e9hez. Az IOKit nemcsak az eszk\u00f6z\u00f6kkel val\u00f3 munk\u00e1t seg\u00edti, hanem a meghajt\u00f3k egym\u00e1sra \u00e9p\u00edt\u00e9s\u00e9nek m\u00f3dszereit is biztos\u00edtja C++ oszt\u00e1lyp\u00e9ld\u00e1nyok seg\u00edts\u00e9g\u00e9vel. A felhaszn\u00e1l\u00f3i t\u00e9rben l\u00e9v\u0151 alkalmaz\u00e1s<\/p>\n
Az oszt\u00e1lyp\u00e9ld\u00e1nyok sz\u00e1m\u00e1nak felfedez\u00e9s\u00e9re l\u00e9tezik az ioclasscount seg\u00e9dprogram.<\/p>\n
my_kext_ioservice = 1\nmy_kext_iouserclient = 1\n<\/code><\/pre>\n
\nB\u00e1rminek, ami a meghajt\u00f3k halmaz\u00e1ban szeretne regisztr\u00e1lni, be kell jelenteni egy IOService-t\u0151l \u00f6r\u00f6k\u00f6lt oszt\u00e1lyt, p\u00e9ld\u00e1ul a my_kext_ioservice-t ebben az esetben. A felhaszn\u00e1l\u00f3i alkalmaz\u00e1sok csatlakoztat\u00e1sa \u00faj oszt\u00e1lyp\u00e9ld\u00e1ny l\u00e9trehoz\u00e1s\u00e1t okozza, amely az IOUserClient-t\u0151l \u00f6r\u00f6kl\u0151dik, a p\u00e9ld\u00e1ban my_kext_iouserclient.<\/p>\n
A meghajt\u00f3 elt\u00e1vol\u00edt\u00e1sa a rendszerb\u0151l (kextunload parancs) sor\u00e1n a virtu\u00e1lis funkci\u00f3 \"bool terminate(IOOptionBits options)\" h\u00edv\u00f3dik meg. El\u00e9g, ha a terminate funkci\u00f3 h\u00edv\u00e1sakor false-t adunk vissza az elt\u00e1vol\u00edt\u00e1si k\u00eds\u00e9rlet sor\u00e1n, hogy megakad\u00e1lyozzuk a kextunload-ot.<\/p>\n
bool Kext::terminate(IOOptionBits options)\n{\n\n  if (!IsUnloadAllowed)\n  {\n    \/\/ Az elt\u00e1vol\u00edt\u00e1s nem enged\u00e9lyezett, false-t adunk vissza\n    return false;\n  }\n\n  return super::terminate(options);\n}\n\n<\/code><\/pre>\n
\nAz IsUnloadAllowed jelz\u0151t az IOUserClient \u00e1ll\u00edthatja be a bet\u00f6lt\u00e9skor. Ha a bet\u00f6lt\u00e9s korl\u00e1tozva van, a kextunload parancs a k\u00f6vetkez\u0151 kimenetet adja:<\/p>\n
admin@admins-Mac drivermanager % sudo kextunload .\/test.kext\nJelsz\u00f3:\n(kernel) Nem lehet elt\u00e1vol\u00edtani a kext my.kext.test; a szolg\u00e1ltat\u00e1sok nem tudtak le\u00e1llni - 0xe00002c7.\nSikertelen a my.kext.test elt\u00e1vol\u00edt\u00e1sa - (iokit\/common) nem t\u00e1mogatott funkci\u00f3.\n<\/code><\/pre>\n
\nHasonl\u00f3 v\u00e9delmet kell megval\u00f3s\u00edtani az IOUserClient eset\u00e9ben is. Az oszt\u00e1lyp\u00e9ld\u00e1nyokat az IOKitLib felhaszn\u00e1l\u00f3i funkci\u00f3j\u00e1val, az \u201cIOCatalogueTerminate(mach_port_t, uint32_t flag, io_name_t description);\u201d lehet elt\u00e1vol\u00edtani. A \"terminate\" parancs h\u00edv\u00e1sa sor\u00e1n false-t lehet visszaadni, am\u00edg a felhaszn\u00e1l\u00f3i t\u00e9r alkalmaz\u00e1s nem \"hal meg\", vagyis nem h\u00edv\u00f3dik meg a \"clientDied\" funkci\u00f3.<\/p>\n
F\u00e1jlok v\u00e9delme<\/h3>\n
\nA f\u00e1jlok v\u00e9delm\u00e9hez elegend\u0151 a Kauth API haszn\u00e1lata, amely lehet\u0151v\u00e9 teszi a f\u00e1jlokhoz val\u00f3 hozz\u00e1f\u00e9r\u00e9s korl\u00e1toz\u00e1s\u00e1t. Az Apple \u00e9rtes\u00edt\u00e9seket biztos\u00edt a fejleszt\u0151k sz\u00e1m\u00e1ra a scope k\u00fcl\u00f6nb\u00f6z\u0151 esem\u00e9nyeir\u0151l, sz\u00e1munkra fontosak a KAUTH_VNODE_DELETE, KAUTH_VNODE_WRITE_DATA \u00e9s KAUTH_VNODE_DELETE_CHILD m\u0171veletek. A f\u00e1jlokhoz val\u00f3 hozz\u00e1f\u00e9r\u00e9st legk\u00f6nnyebben az \u00fatvonal alapj\u00e1n korl\u00e1tozhatjuk \u2014 az API 'vn_getpath' haszn\u00e1lat\u00e1val nyerj\u00fck ki a f\u00e1jl \u00fatvonal\u00e1t, \u00e9s \u00f6sszehasonl\u00edtjuk az \u00fatvonal prefix\u00e9t. Megjegyezz\u00fck, hogy a f\u00e1jlok mappa\u00e1tnevez\u00e9s\u00e9nek optimaliz\u00e1l\u00e1sa \u00e9rdek\u00e9ben a rendszer nem enged\u00e9lyezi minden f\u00e1jl hozz\u00e1f\u00e9r\u00e9s\u00e9t, csak a mapp\u00e1\u00e9t, amelyet \u00e1tneveztek. \u00d6sszehasonl\u00edt\u00e1st kell v\u00e9gezni a sz\u00fcl\u0151i \u00fattal, \u00e9s korl\u00e1tozni kell a KAUTH_VNODE_DELETE-t ennek megfelel\u0151en.<\/p>\n
\"Hogyan
\n
\nEnnek a megk\u00f6zel\u00edt\u00e9snek a h\u00e1tr\u00e1nya lehet a teljes\u00edtm\u00e9ny cs\u00f6kken\u00e9se a prefixek sz\u00e1m\u00e1nak n\u00f6veked\u00e9s\u00e9vel. Annak \u00e9rdek\u00e9ben, hogy az \u00f6sszehasonl\u00edt\u00e1s ne legyen O(prefix*length) , ahol a prefix a prefixek sz\u00e1ma, a length pedig a karakterl\u00e1nc hossza, determinisztikus v\u00e9ges automat\u00e1t (DFA) haszn\u00e1lhatunk, amelyet a prefixek alapj\u00e1n \u00e9p\u00edt\u00fcnk. <\/p>\n
N\u00e9zz\u00fck meg a DFA fel\u00e9p\u00edt\u00e9s\u00e9nek m\u00f3dj\u00e1t a megadott prefixek halmaza sz\u00e1m\u00e1ra. Inicializ\u00e1ljuk a kurzorokat minden prefix elej\u00e9n. Ha minden kurzor ugyanarra a karakterre mutat, akkor minden kurzort egy karakterrel n\u00f6vel\u00fcnk, \u00e9s eml\u00e9kez\u00fcnk arra, hogy az egyforma karakterl\u00e1nc hossza eggyel n\u0151tt. Ha k\u00e9t kurzor l\u00e9tezik, amelyek alatt k\u00fcl\u00f6nb\u00f6z\u0151 karakterek \u00e1llnak, akkor a kurzorokat a r\u00e1mutat\u00f3 karakterek alapj\u00e1n csoportos\u00edtjuk, \u00e9s megism\u00e9telj\u00fck az algoritmust minden csoportra.<\/p>\n
Az els\u0151 esetben (minden kurzor alatt ugyanazok a karakterek) egy olyan DFA \u00e1llapotot kapunk, amelynek csak egy \u00e1tmenete van az azonos karakterl\u00e1ncon. A m\u00e1sodik esetben egy 256 m\u00e9ret\u0171 \u00e1tmeneti t\u00e1bl\u00e1zatot kapunk (a karakterek sz\u00e1ma \u00e9s a maxim\u00e1lis csoportok sz\u00e1ma) a k\u00f6vetkez\u0151 \u00e1llapotokhoz, amelyeket a f\u00fcggv\u00e9ny rekurz\u00edv h\u00edv\u00e1s\u00e1val nyer\u00fcnk.<\/p>\n
N\u00e9zz\u00fck meg a p\u00e9ld\u00e1t. A prefixek halmaza (\u201c\/foo\/bar\/tmp\/\u201d, \u201c\/var\/db\/foo\/\u201d, \u201c\/foo\/bar\/aba\/\u201d, \u201cfoo\/bar\/aac\/\u201d) alapj\u00e1n a k\u00f6vetkez\u0151 DFA \u00e9rhet\u0151 el. A diagramon csak a m\u00e1s \u00e1llapotokba vezet\u0151 \u00e1tmenetek szerepelnek, m\u00e1s \u00e1tmenetek nem lesznek v\u00e9glegesek.<\/p>\n
\"Hogyan
\n
\nA DFA \u00e1llapotainak \u00e1thalad\u00e1sakor h\u00e1rom eset fordulhat el\u0151.<\/p>\n
    \n
  1. V\u00e9gs\u0151 \u00e1llapotot \u00e9rt\u00fcnk el \u2014 az \u00fatvonal v\u00e9dett, korl\u00e1tozzuk a KAUTH_VNODE_DELETE, KAUTH_VNODE_WRITE_DATA \u00e9s KAUTH_VNODE_DELETE_CHILD m\u0171veleteket.<\/li>\n
  2. Nem \u00e9rkezett el a v\u00e9gs\u0151 \u00e1llapot, de az \u00fat 'v\u00e9g\u00e9n' (el\u00e9rt\u00fck a null-termin\u00e1l\u00f3t) \u2014 az \u00fat egy sz\u00fcl\u0151, a KAUTH_VNODE_DELETE-t korl\u00e1tozni kell. Meg kell jegyezni, hogy ha a vnode egy mappa, akkor \u2019\/\u2019 -ot kell hozz\u00e1adni a v\u00e9g\u00e9hez, k\u00fcl\u00f6nben a ' \/foor\/bar\/t' f\u00e1jlra korl\u00e1toz\u00e1st lehet alkalmazni, ami hib\u00e1s.<\/li>\n
  3. Nem \u00e9rkezett el a v\u00e9gs\u0151 \u00e1llapot, az \u00fat nem z\u00e1rult le. Egyik el\u0151tag sem felel meg ennek, nem alkalmazunk korl\u00e1toz\u00e1sokat.<\/li>\n<\/ol>\n
    <\/p>\n
    Z\u00e1r\u00e1s<\/h3>\n
    \nA kidolgozott biztons\u00e1gi megold\u00e1sok c\u00e9lja a felhaszn\u00e1l\u00f3k \u00e9s az adataik biztons\u00e1gi szintj\u00e9nek n\u00f6vel\u00e9se. Egyr\u00e9szt ezt a c\u00e9lt az Acronis szoftverterm\u00e9k\u00e9nek fejleszt\u00e9s\u00e9vel \u00e9rj\u00fck el, amely megsz\u00fcnteti azokat a sebezhet\u0151s\u00e9geket, ahol az oper\u00e1ci\u00f3s rendszer 'gyenge'. M\u00e1sr\u00e9szt nem szabad elhanyagolni az oper\u00e1ci\u00f3s rendszer biztons\u00e1gi szempontjainak meger\u0151s\u00edt\u00e9s\u00e9t sem, mivel az ilyen sebezhet\u0151s\u00e9gek megsz\u00fcntet\u00e9se fokozza a term\u00e9k\u00fcnk saj\u00e1t ellen\u00e1ll\u00f3s\u00e1g\u00e1t. A sebezhet\u0151s\u00e9get az Apple Product Security Team jelentette be \u00e9s a macOS 10.14.5-\u00f6s verzi\u00f3ban jav\u00edtott\u00e1k (https:\/\/support.apple.com\/en-gb\/HT210119).<\/p>\n
    \"Hogyan
    \n
    \nEz mind csak akkor lehets\u00e9ges, ha a seg\u00e9dprogram hivatalosan telep\u00edtve volt a rendszer kernel\u00e9be. Teh\u00e1t k\u00fcls\u0151 \u00e9s nem k\u00edv\u00e1nt szoftvereknek nincsenek ilyen kiskapui. Azonban, ahogy l\u00e1that\u00f3, m\u00e9g a legitim programok, mint p\u00e9ld\u00e1ul az antiv\u00edrus \u00e9s a biztons\u00e1gi ment\u00e9si rendszer v\u00e9delme \u00e9rdek\u00e9ben is kem\u00e9nyen kell dolgozni. De most az \u00faj Acronis term\u00e9kek a macOS sz\u00e1m\u00e1ra extra v\u00e9delmet kapnak a rendszerb\u0151l val\u00f3 elt\u00e1vol\u00edt\u00e1ssal szemben.
    \n
    Forr\u00e1s: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
    \u041f\u0440\u0438\u0432\u0435\u0442, \u0425\u0430\u0431\u0440! \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u043c\u043d\u0435 \u0445\u043e\u0442\u0435\u043b\u043e\u0441\u044c \u0431\u044b \u043f\u043e\u0433\u043e\u0432\u043e\u0440\u0438\u0442\u044c \u043e \u0442\u043e\u043c, \u043a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0437\u0430\u0449\u0438\u0442\u0438\u0442\u044c \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u044b \u043e\u0442 \u043f\u043e\u0441\u044f\u0433\u0430\u0442\u0435\u043b\u044c\u0441\u0442\u0432 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u043e\u0432 \u0432 macOS. \u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u044d\u0442\u043e \u043f\u043e\u043b\u0435\u0437\u043d\u043e \u0434\u043b\u044f \u0430\u043d\u0442\u0438\u0432\u0438\u0440\u0443\u0441\u0430 \u0438\u043b\u0438 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0440\u0435\u0437\u0435\u0440\u0432\u043d\u043e\u0433\u043e \u043a\u043e\u043f\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f, \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e \u0432 \u0441\u0432\u0435\u0442\u0435 \u0442\u043e\u0433\u043e \u0447\u0442\u043e \u043f\u043e\u0434 macOS \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442 \u0441\u0440\u0430\u0437\u0443 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0441\u043f\u043e\u0441\u043e\u0431\u043e\u0432 \u201c\u0443\u0431\u0438\u0442\u044c\u201d \u043f\u0440\u043e\u0446\u0435\u0441\u0441. \u041e\u0431 \u044d\u0442\u043e\u043c \u0438 \u043e \u043c\u0435\u0442\u043e\u0434\u0430\u0445 \u0437\u0430\u0449\u0438\u0442\u044b \u0447\u0438\u0442\u0430\u0439\u0442\u0435 \u043f\u043e\u0434 \u043a\u0430\u0442\u043e\u043c. \u041a\u043b\u0430\u0441\u0441\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u0441\u043f\u043e\u0441\u043e\u0431 \u201c\u0443\u0431\u0438\u0442\u044c\u201d \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0412\u0441\u0435\u043c \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u0439 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":78515,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-78514","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Hogyan v\u00e9dj\u00fck meg a folyamatokat \u00e9s a kernel kiterjeszt\u00e9seket a macOS-en | ProHoster","description":"Hell\u00f3, Habr! Ma szeretn\u00e9k besz\u00e9lni arr\u00f3l, hogyan lehet megv\u00e9deni a folyamatokat a kiberb\u0171n\u00f6z\u0151k t\u00e1mad\u00e1sait\u00f3l a macOS-en.","canonical_url":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/kak-zashhishhat-proczessy-i-rasshireniya-yadra-v-macos","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"hu_HU","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a \u0437\u0430\u0449\u0438\u0449\u0430\u0442\u044c \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u044b \u0438 \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u044f \u044f\u0434\u0440\u0430 \u0432 macOS | ProHoster","og:description":"\u041f\u0440\u0438\u0432\u0435\u0442, \u0425\u0430\u0431\u0440! \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u043c\u043d\u0435 \u0445\u043e\u0442\u0435\u043b\u043e\u0441\u044c \u0431\u044b \u043f\u043e\u0433\u043e\u0432\u043e\u0440\u0438\u0442\u044c \u043e \u0442\u043e\u043c, \u043a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0437\u0430\u0449\u0438\u0442\u0438\u0442\u044c \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u044b \u043e\u0442 \u043f\u043e\u0441\u044f\u0433\u0430\u0442\u0435\u043b\u044c\u0441\u0442\u0432 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u043e\u0432 \u0432 macOS.","og:url":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/kak-zashhishhat-proczessy-i-rasshireniya-yadra-v-macos","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-04-19T23:42:32+00:00","article:modified_time":"2020-04-19T23:42:32+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"78514","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 16:56:36","updated":"2022-09-28 22:19:40","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts\/78514","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/comments?post=78514"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts\/78514\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/media\/78515"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/media?parent=78514"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/categories?post=78514"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/tags?post=78514"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}