लिनक्समा फाइल अनुमतिहरू

नमस्ते सबै। हामी सक्रिय रूपमा काममा लागिरहेका छौं र जनवरीमा धेरै शक्तिशाली प्रक्षेपणहरू तयारी गर्दैछौं। अरूमध्ये, सबैको मनपर्ने पाठ्यक्रमको नयाँ स्ट्रिमको लागि भर्ना घोषणा गरिएको छ। "लिनक्स प्रशासक"। प्रक्षेपणको प्रत्याशामा, हामी परम्परागत रूपमा उपयोगी सामग्रीको अनुवाद साझा गर्छौं।

फाइल अनुमतिहरूले SUID कार्यान्वयनयोग्यहरूको लागि सुरक्षित विकल्प प्रस्ताव गर्दछ, तर सुरुमा थोरै भ्रामक लाग्न सक्छ।

हामी सबैलाई त्यो बाइनरी थाहा छ दक्षिण के हो सुरक्षा दृष्टिकोणबाट गलत निर्णय। सौभाग्य देखि, यदि तपाइँको आवेदन केहि सीमित विशेषाधिकारहरु को आवश्यकता छ भने, त्यहाँ एक अधिक कुशल तरीका भनिन्छ फाइल अनुमतिहरू.

यदि तपाईं माथिको लेखलाई विस्तृत रूपमा पढ्नबाट बच्न चाहनुहुन्छ भने म तपाईंलाई केही समय बचाउनेछु: अनिवार्य रूपमा, फाइल अनुमतिहरूले प्रक्रियाहरूलाई अनुमति दिन्छ जुन रूटको रूपमा चल्छ र त्यसैले निश्चित क्षमताहरू कायम राख्न केही गर्न अनुमति दिइन्छ, सीमित। यो सूचीजब तिनीहरू विशेषाधिकारहरू छोड्छन् र एक विशेषाधिकार प्राप्त प्रयोगकर्ताद्वारा सञ्चालित हुन्छन्। यसको मतलब यो हो कि यदि आक्रमणकारीले बफर ओभरफ्लो वा अन्य शोषण प्रयोग गरेर प्रक्रियामा सम्झौता गर्न प्रबन्ध गर्दछ भने, तिनीहरूले प्रक्रियालाई वास्तवमा आवश्यक पर्ने निश्चित न्यूनतम विशेषाधिकारहरू बाहेक अरू केहीको फाइदा लिन सक्ने छैनन्।

अनुमतिहरू सेवाहरूको लागि उत्कृष्ट छन् जुन सामान्यतया जहिले पनि रूटको रूपमा चल्छ, तर कमाण्ड लाइन उपयोगिताहरूको बारेमा के हुन्छ? सौभाग्य देखि, यो पनि समर्थित छ यदि तपाइँसँग सही उपयोगिताहरू स्थापना भएको छ। यदि तपाइँ Ubuntu प्रयोग गर्दै हुनुहुन्छ भने, तपाइँ उदाहरणका लागि प्याकेज चाहिन्छ libcap2-bin। तपाईंले गैर-पुरातन कर्नेल (संस्करणबाट 2.6.24).

यी प्रकार्यहरूले अनुमतिहरूलाई कार्यान्वयनयोग्य फाइलहरूसँग सम्बद्ध गर्न अनुमति दिन्छ, SUID बिट सेटिङ जस्तै, तर अनुमतिहरूको निश्चित सेटको लागि मात्र। उपयोगिता setcap फाइलबाट अनुमतिहरू थप्न र हटाउन प्रयोग गरियो।

पहिलो चरण भनेको तपाईलाई चाहिने अनुमतिहरू चयन गर्नु हो। यस लेखको खातिर, म मान्दै छु कि त्यहाँ नेटवर्क डायग्नोस्टिक उपकरण भनिन्छ tracewalk, जुन प्रयोग गर्न सक्षम हुनुपर्छ कच्चा सकेटहरू। यो सामान्यतया अनुप्रयोगलाई रूटको रूपमा चलाउन आवश्यक छ, तर हेर्दा सूची यो बाहिर जान्छ कि केवल अनुमति आवश्यक छ CAP_NET_RAW.

मान्दै तपाईं डाइरेक्टरीमा हुनुहुन्छ जहाँ बाइनरी अवस्थित छ tracewalk, तपाईले यो अनुमति यसरी थप्न सक्नुहुन्छ:

sudo setcap cap_net_raw=eip tracewalk

अहिलेको लागि प्रत्ययलाई बेवास्ता गर्नुहोस् =eip समाधानको लागि, म केहि सेकेन्डमा यसको बारेमा कुरा गर्नेछु। नोट गर्नुहोस् कि अनुमति नाम सानो अक्षरमा छ। तपाईंले अब जाँच गर्न सक्नुहुन्छ कि तपाईंले अनुमतिहरू सही रूपमा कन्फिगर गर्नुभएको छ:

setcap -v cap_new_raw=eip tracewalk

वा तपाइँ दिइएको कार्यान्वयन योग्यको लागि सेट गरिएका सबै अनुमतिहरू सूचीबद्ध गर्न सक्नुहुन्छ:

getcap tracewalk

सन्दर्भको लागि, तपाईं कार्यान्वयन योग्यबाट सबै अनुमतिहरू हटाउन सक्नुहुन्छ:

setcap -r tracewalk

यस बिन्दुमा, तपाइँ एक विशेषाधिकार नभएको प्रयोगकर्ताको रूपमा कार्यान्वयनयोग्य चलाउन सक्षम हुनुपर्दछ, र यो कच्चा सकेटहरूसँग काम गर्न सक्षम हुनुपर्दछ, तर रूट प्रयोगकर्तासँग भएका अन्य विशेषाधिकारहरू छैनन्।

त्यसोभए यो अनौठो प्रत्ययको अर्थ के हो? =eip? यसका लागि अनुमतिहरूको प्रकृतिको केही बुझाइ आवश्यक छ। प्रत्येक प्रक्रियामा अनुमतिहरूको तीन सेटहरू छन् - प्रभावकारी, वंशाणुगत र अनुमति प्राप्त:

• प्रभावकारी अनुमतिहरू ती हुन् जसले प्रक्रियाले वास्तवमा के गर्न सक्छ भनेर परिभाषित गर्दछ। उदाहरणका लागि, यसले कच्चा सकेटहरूसँग व्यवहार गर्न सक्दैन यदि CAP_NET_RAW प्रभावकारी सेटमा छैन।
• उपलब्ध छ अनुमतिहरू ती हुन् जुन प्रक्रियालाई अनुमति दिइन्छ यदि यसले तिनीहरूलाई उपयुक्त कल प्रयोग गरेर अनुरोध गर्दछ। तिनीहरूले प्रक्रियालाई वास्तवमा केहि गर्नबाट रोक्छन् जबसम्म यो विशेष रूपमा उक्त अनुमति अनुरोध गर्न लेखिएको थिएन। यसले प्रक्रियाहरूलाई प्रभावकारी सेटमा महत्त्वपूर्ण अनुमतिहरू थप्नको लागि लेख्न अनुमति दिन्छ जब तिनीहरू वास्तवमा आवश्यक हुन्छन्।
• वंशाणुगत अनुमतिहरू ती हुन् जुन जन्मिएको बच्चा प्रक्रियाको पहुँचयोग्य सेटमा इनहेरिट गर्न सकिन्छ। शल्यक्रियाको क्रममा fork() वा clone() चाइल्ड प्रक्रियालाई सधैं अभिभावक प्रक्रियाको अनुमतिको प्रतिलिपि दिइन्छ किनभने यो अझै पनि त्यो बिन्दुमा समान कार्यान्वयनयोग्य चलिरहेको छ। जब एक इनहेरिटेबल सेट प्रयोग गरिन्छ exec() (वा समकक्ष) लाई कार्यान्वयनयोग्य फाइललाई अर्कोसँग बदल्न भनिन्छ। यस बिन्दुमा, प्रक्रियाको उपलब्ध सेटलाई नयाँ प्रक्रियाको लागि प्रयोग गरिने पहुँचयोग्य सेट प्राप्त गर्न इनहेरिटेबल सेटद्वारा मास्क गरिएको छ।

त्यसैले उपयोगिता setcap हामीलाई दिइएको कार्यान्वयन योग्यको लागि स्वतन्त्र रूपमा यी तीन सेटहरूको अनुमतिहरू थप्न अनुमति दिन्छ। नोट गर्नुहोस् कि समूहहरूको अर्थ फाइल अनुमतिहरूको लागि अलि फरक रूपमा व्याख्या गरिएको छ:

• उपलब्ध छ फाइल अनुमतिहरू ती हुन् जुन सँधै कार्यान्वयनयोग्य फाइलमा उपलब्ध हुन्छन्, भले पनि यसलाई बोलाउने अभिभावक प्रक्रियासँग तिनीहरू छैनन्। तिनीहरूलाई "जबरदस्ती" अनुमति भनिन्थ्यो।
• वंशाणुगत फाइल अनुमतिहरूले एक अतिरिक्त मास्क परिभाषित गर्दछ जुन कलिङ प्रक्रियाको सेटबाट अनुमतिहरू हटाउन प्रयोग गर्न सकिन्छ। तिनीहरू कलिङ प्रक्रियाको वंशानुगत सेटको अतिरिक्त लागू हुन्छन्, त्यसैले अनुमति विरासतमा प्राप्त हुन्छ यदि यो दुवै सेटहरूमा अवस्थित छ।
• प्रभावकारी फाइल अनुमतिहरू वास्तवमा केवल एक बिट मात्र हुन्, सेट होइन, र यदि सेट गरियो भने, यसको मतलब सम्पूर्ण उपलब्ध सेट पनि नयाँ प्रक्रियाको प्रभावकारी सेटमा प्रतिलिपि गरिएको छ। यो प्रक्रियाहरूमा अनुमतिहरू थप्न प्रयोग गर्न सकिन्छ जुन तिनीहरूलाई अनुरोध गर्न विशेष रूपमा लेखिएको थिएन। यो एक बिट भएकोले, यदि तपाइँ यसलाई कुनै पनि अनुमतिको लागि सेट गर्नुहुन्छ भने, यो सबै अनुमतिहरूको लागि सेट हुनुपर्छ। तपाइँ यसलाई लिगेसी बिटको रूपमा सोच्न सक्नुहुन्छ किनभने यसलाई समर्थन नगर्ने अनुप्रयोगहरूद्वारा अनुमतिहरू प्रयोग गर्न अनुमति दिन प्रयोग गरिन्छ।

मार्फत अनुमतिहरू निर्दिष्ट गर्दा setcap तीन अक्षर e, i и p उल्लेख प्रभावकारी, वंशाणुगत र पहुँचयोग्य क्रमशः सेट गर्दछ। त्यसोभए, पहिलेको विनिर्देश:

sudo setcap cap_net_raw=eip tracewalk

... संकल्प संकेत गर्छ CAP_NET_RAW उपलब्ध र इनहेरिटेबल सेटहरूमा थपिनुपर्छ र प्रभावकारी बिट पनि सेट गरिनुपर्छ। यसले फाइलमा पहिले सेट गरिएका अनुमतिहरूलाई ओभरराइड गर्नेछ। एकै पटक धेरै अनुमतिहरू सेट गर्न, अल्पविराम-विभाजित सूची प्रयोग गर्नुहोस्:

sudo setcap cap_net_admin,cap_net_raw=eip tracewalk

अनुमति गाइड यी सबैलाई थप विस्तारमा छलफल गर्दछ, तर आशा छ कि यो पोष्टले अलिकति के भइरहेको छ भनी छुट्याएको छ। त्यहाँ उल्लेख गर्न केही सावधानी र चालहरू मात्र बाँकी छन्।

पहिलो, फाइल क्षमताहरू सिमलिङ्कहरूसँग काम गर्दैनन् - तपाईंले तिनीहरूलाई बाइनरी फाइलमा लागू गर्नुपर्छ (अर्थात् सिमलिङ्कको लक्ष्य)।

दोस्रो, तिनीहरू व्याख्या गरिएको लिपिहरूसँग काम गर्दैनन्। उदाहरणका लागि, यदि तपाइँसँग पाइथन स्क्रिप्ट छ जुन तपाइँलाई अनुमति प्रदान गर्न चाहानुहुन्छ, तपाइँले यसलाई पाइथन अनुवादकमा असाइन गर्नुपर्छ। स्पष्ट रूपमा यो एक सम्भावित सुरक्षा मुद्दा हो किनभने त्यसो भए त्यस दोभाषेसँग कार्यान्वयन गरिएका सबै स्क्रिप्टहरूमा निर्दिष्ट अनुमति हुनेछ, यद्यपि यो अझै पनि यसलाई SUID बनाउनु भन्दा राम्रो छ। सबै भन्दा सामान्य उपाय भनेको C वा समकक्षमा छुट्टै कार्यान्वयन योग्य लेख्नु जस्तो देखिन्छ जसले आवश्यक कार्यहरू गर्न र यसलाई लिपिबाट कल गर्न सक्छ। यो Wireshark द्वारा प्रयोग गरिएको दृष्टिकोण जस्तै हो जसले बाइनरी प्रयोग गर्दछ /usr/bin/dumpcap विशेषाधिकार प्राप्त कार्यहरू गर्न:

$ getcap /usr/bin/dumpcap 
/usr/bin/dumpcap = cap_net_admin,cap_net_raw+eip

तेस्रो, यदि तपाइँ वातावरण चर प्रयोग गर्नुहुन्छ भने फाइल अनुमतिहरू असक्षम हुन्छन् LD_LIBRARY_PATH स्पष्ट सुरक्षा कारणहरूको लागि(1)। मा पनि लागू हुन्छ LD_PRELOADजहाँसम्म मलाई थाहा छ।

1. एक आक्रमणकारीले स्पष्ट रूपमा मानक पुस्तकालयहरू मध्ये एक प्रतिस्थापन गर्न र प्रयोग गर्न सक्छ LD_LIBRARY_PATHयसको पुस्तकालयलाई प्रणाली एकलाई प्राथमिकतामा बोलाउन बाध्य पार्न, र यसैले कलिङ एप्लिकेसनको समान विशेषाधिकारहरूसँग यसको आफ्नै स्वेच्छाचारी कोड कार्यान्वयन गरिएको छ।

यति नै। पाठ्यक्रम कार्यक्रमको बारेमा थप विवरणहरू फेला पार्न सकिन्छ वेबिनार, जुन 24 जनवरीमा हुनेछ।

स्रोत: www.habr.com