{"id":55251,"date":"2020-01-16T00:00:00","date_gmt":"2020-01-15T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/fajlovye-razresheniya-v-linux"},"modified":"2020-02-18T14:03:21","modified_gmt":"2020-02-18T11:03:21","slug":"fajlovye-razresheniya-v-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/fajlovye-razresheniya-v-linux","title":{"rendered":"Bestandstoegang in Linux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Hallo iedereen. We zijn actief aan de slag en in januari bereiden we veel krachtige lanceringen voor. Onder andere, is de inschrijving geopend voor een nieuwe ronde van de geliefde cursus. \u2018Linux Beheerder\u2019<\/a><\/noindex>In de aanloop naar de lancering delen we traditiegetrouw een vertaling van nuttig materiaal.<\/i><\/p>\n

\"Bestandstoegang
\n<\/p>\n

Bestandspermissies bieden een veilig alternatief voor uitvoerbare SUID-bestanden, maar kunnen aanvankelijk wat verwarrend lijken.<\/i><\/p><\/blockquote>\n

<\/a><\/noindex>
\nIedereen weet dat binaire bestanden SUID<\/a><\/noindex> zijn een slechte keuze vanuit veiligheidsoptiek.<\/a><\/noindex>Gelukkig, als uw applicatie bepaalde beperkte privileges nodig heeft, is er een effectievere manier, genaamd bestandspermissies.<\/a><\/noindex>.<\/p>\n

Ik bespaar u wat tijd als u een gedetailleerde lezing van het bovenstaande artikel wilt vermijden: in wezen stellen bestandspermissies processen die worden uitgevoerd onder de root-gebruiker, en die dus recht hebben om iets te doen, in staat om bepaalde mogelijkheden te behouden, beperkt tot deze lijst,<\/a><\/noindex>wanneer ze privileges afstaan en worden uitgevoerd als een niet-geprivilegieerde gebruiker. Dit betekent dat als een aanvaller erin slaagt om een proces te compromitteren via een bufferoverloop of een andere exploit, ze niets kunnen gebruiken behalve bepaalde minimale privileges die werkelijk nodig zijn voor het proces.<\/p>\n

Permissies zijn geweldig voor diensten die meestal altijd als root-gebruiker worden uitgevoerd, maar hoe zit het met commandoregelhulpmiddelen? Gelukkig wordt dit ook ondersteund, op voorwaarde dat u de juiste hulpprogramma's hebt ge\u00efnstalleerd. Als u Ubuntu gebruikt, heeft u bijvoorbeeld het pakket libcap2-bin<\/code>nodig. U moet ook een niet-archeologisch kernel draaien (beginnende vanaf versie 2.6.24<\/b>).<\/p>\n

Deze functies stellen u in staat om permissies aan uitvoerbare bestanden te koppelen, vergelijkbaar met het instellen van de SUID-bit, maar alleen voor een bepaalde set permissies. Het hulpprogramma setcap<\/code> wordt gebruikt om permissies aan een bestand toe te voegen of van een bestand te verwijderen.<\/p>\n

De eerste stap is om de benodigde permissies te kiezen. Voor dit artikel neem ik aan dat er een netwerkdiagnosehulpmiddel is genaamd tracewalk,<\/code>dat in staat moet zijn om onafgebroken sockets<\/a><\/noindex>te gebruiken. Gewoonlijk is hiervoor nodig dat de applicatie wordt uitgevoerd als root-gebruiker, maar bij het bekijken van de lijst <\/a><\/noindex>blijkt dat alleen de permissie vereist is CAP_NET_RAW.<\/code>.<\/p>\n

Aannemende dat je je in de\u76ee\u5f55 bevindt waar het binaire bestand zich bevindt tracewalk,<\/code>, kun je de volgende manier aan deze machtiging toevoegen:<\/p>\n

sudo setcap cap_net_raw=eip tracewalk<\/code><\/pre>\n
\nNegeer voorlopig de suffix =eip<\/code> voor de machtiging, ik zal hier binnenkort meer over vertellen. Let op dat de naam van de machtiging in kleine letters is. Je kunt nu controleren of je de machtigingen correct hebt ingesteld met:<\/p>\n
setcap -v cap_new_raw=eip tracewalk<\/code><\/pre>\n
\nOf je kunt een lijst van alle machtigingen die aan een bepaald uitvoerbaar bestand zijn toegekend weergeven:<\/p>\n
getcap tracewalk\n<\/code><\/pre>\n
\nTer referentie, je kunt ook alle machtigingen uit het uitvoerbare bestand verwijderen met:<\/p>\n
setcap -r tracewalk<\/code><\/pre>\n
\nOp dit punt zou je het uitvoerbare bestand als een niet-geprivilegieerde gebruiker moeten kunnen uitvoeren, en het zou in staat moeten zijn om met onbewerkte sockets te werken, maar geen andere privileges van de root-gebruiker hebben.<\/p>\n
Dus, wat betekent deze vreemde suffix =eip<\/code>? \u0417\u0434\u0435\u0441\u044c \u043f\u043e\u0442\u0440\u0435\u0431\u0443\u0435\u0442\u0441\u044f \u0442\u043e\u043b\u0438\u043a\u0430 \u043f\u043e\u043d\u0438\u043c\u0430\u043d\u0438\u044f \u043f\u0440\u0438\u0440\u043e\u0434\u044b \u0440\u0430\u0437\u0440\u0435\u0448\u0435\u043d\u0438\u0439. \u041a\u0430\u0436\u0434\u044b\u0439 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0438\u043c\u0435\u0435\u0442 \u0442\u0440\u0438 \u043d\u0430\u0431\u043e\u0440\u0430 \u0440\u0430\u0437\u0440\u0435\u0448\u0435\u043d\u0438\u0439 \u2014 effectieve, erfelijke en toegestane (effective, inheritable en permitted)<\/i>:<\/p>\n