কোনও ডিরেক্টরিতে রুট লেখার ফাইলগুলি রুটের মালিকানাধীন নয় কেন খারাপ?


28

এটি অন্য প্রশ্নের মন্তব্যে উঠে এসেছিল এবং যদি কেউ আমাকে এর কারণ ব্যাখ্যা করতে পারে তবে আমি এটি পছন্দ করব।

আমি অ্যাপাচি ব্যবহারকারীর হোম ডিরেক্টরিতে প্রদত্ত VHost এর জন্য ত্রুটিগুলি লগ করার পরামর্শ দিয়েছি। এটি অনিরাপদ থাকার কারণে গুলি করে হত্যা করা হয়েছিল। কেন?

আমি একটি উত্তর মন্তব্যে স্পষ্টতা চেয়েছিলাম কিন্তু আমি যা পেয়েছি তা হ'ল মূলের মালিকানাধীন কোনও ফোল্ডারে মূল লেখার বিষয়টি অনিরাপদ। আবার, কেউ ব্যাখ্যা করতে পারে?

ধন্যবাদ,

বার্ট।


4
অ্যাপাচি রুট হিসাবে দৌড়াদৌড়ি করছে - ন্যূনতম সুবিধার নীতিটি তার বিরুদ্ধে চিৎকার করে!
জোনাথন লেফলার 14

1
অ্যাপাচি www হিসাবে চলমান, তবে এটি রুট হিসাবে শুরু হচ্ছে যাতে এটি 80 এর বন্দরকে রীতি মতো বাঁধতে পারে। স্পষ্টতই এটি রুট হিসাবে লগ হয়।
বার্ট বি

উত্তর:


31

কারণ কোনও দুষ্ট ব্যবহারকারী দূষিতভাবে ফাইলটিকে rootঅন্য কোনও জায়গায় লেখার জন্য নির্দেশ করতে চেষ্টা করতে পারে । এটি এত সহজ নয়, তবে সত্যিই সম্ভব।

উদাহরণস্বরূপ, যদি কোনও ব্যবহারকারী অনুমিত আপাচি লগ ইন থেকে একটি সিমলিংক তৈরি করার উপায় খুঁজে পান, বলুন, / ইত্যাদি / ছায়া আপনার হঠাৎ একটি অকেজো সিস্টেম হবে। অ্যাপাচি ( root) আপনার ব্যবহারকারীদের শংসাপত্রগুলি সিস্টেমটিকে ত্রুটিযুক্ত করে ওভাররাইট করে।

ln -s /etc/shadow /home/eviluser/access.log

যদি অ্যাক্সেস.লগ ফাইলটি ব্যবহারকারী দ্বারা লিখিত না হয় তবে এটি হাইজ্যাক করা কঠিন হতে পারে, তবে সম্ভাবনা এড়ানো আরও ভাল!

কাজটি করার জন্য লোগ্রোটেট ব্যবহার করা সম্ভব হতে পারে , এমন একটি ফাইলের লিঙ্ক তৈরি করা যা ইতিমধ্যে বিদ্যমান নেই, তবে সেই লোগ্রোটেট লগগুলি বাড়ার সাথে সাথে ওভাররাইট হয়ে যাবে:

ln -s /etc/shadow /home/eviluser/access.log.1

দ্রষ্টব্য :

সিমবলিক লিঙ্ক পদ্ধতি একমাত্র সম্ভাব্য হামলার অন্যতম ধারণার একটি প্রমাণ হিসাবে দেওয়া হয়।

সুরক্ষা হোয়াইট লিস্টের মন দিয়ে তৈরি করতে হবে , আমরা কী হিসাবে ইস্যু হতে জানি তা কালো তালিকাভুক্ত নয় ।


এতে কীভাবে অনুমতি সেট করার কোনও উপায় আছে যাতে তারা কেবল ফাইলটি পড়তে পারে এবং মুছতে, সম্পাদনা করতে বা অন্য কিছু করতে না পারে (যেমন শাবক, ছোমড ইত্যাদি)?
জোশুয়া

আপনার প্রতিটি সম্ভাব্য টার্গেট ফাইলটিতে এই অপারেশন করা উচিত! এই লিখনযোগ্য ফাইলটি পছন্দ করা ফাইলটি হ'ল, লিঙ্কটি নিজেই আক্রমণকারীর মালিকানাধীন নয় সে তৈরি করার সাথে সাথে।
drAlberT

2
@ জোশুয়া: শ্যাওন শুধুমাত্র মূল দ্বারা সঞ্চালিত হতে পারে। যে ফাইলটির মালিক তার দ্বারা chmod করা যাবে। আইআইআরসি, নাম বদলানো ডিরেক্টরিটির মালিক যার দ্বারা করা যেতে পারে। অ্যালবার্ট যেমন উল্লেখ করেছে, রুট ফাইল তৈরির আগে একটি লিঙ্ক তৈরি করা যাকে ডিরেক্টরিতে লিখতে পারে তার দ্বারা কাজ করা যেতে পারে।
atk

2
@ অ্যাটাক: তদ্ব্যতীত, যে ডিরেক্টরিটির মালিক তারাই সাধারণত ফাইলগুলি সরিয়ে ফেলতে পারে (যদি না স্টিকি +tবিট সেট না করা থাকে), তবে তাদের নিজেরাই যদি ফাইলগুলিতে লেখার অনুমতি না থাকে (কারণ আনলিংক () ডিরেক্টরিতে লেখা হয় না, ফাইল)। এমনকি যদি রুট সময়ের আগে ফাইলটি তৈরি করে, ডিরেক্টরি মালিক এখনও এটি মুছতে এবং এটি অন্য কোনও কিছুর সাথে একটি সিমলিংক দিয়ে প্রতিস্থাপন করতে সক্ষম হতে পারে।
জেমস স্নেরিঞ্জার

1
যদি দুষ্টু ব্যবহারকারীর / বাড়িতে / দুষ্টু লেখক লিখতে পারে (বা ডিরেক্টরিতে অনুমতিগুলি পরিবর্তন করতে পারে - তারা এর মালিক, আইওডাব্লু), তবে এক্সেস.লগের অনুমতিগুলি কী তা বিবেচনাধীন নয়; অশুভ ব্যবহারকারীর (পুনরায়) ফাইলটি সরানো যায় এবং তাদের সিমলিংকটিকে তার জায়গায় রাখতে পারে। আরেকটি প্রশ্ন হ'ল সফ্টওয়্যারটি কী খোলে তাতে মনোযোগ দেয় কিনা।
জোনাথন লেফলার

1

প্রসেস না রাখার সাধারণ নীতিটি যে ডিরেক্টরিগুলির মালিকানা বা বিশ্বাস নেই সেগুলি লিখতে ভাল is তবে এই বিশেষ ক্ষেত্রে, আপাচি কোড O_NOFOLLOWইত্যাদির সাহায্যে লগ খোলে তা বিশ্বাস করা যুক্তিসঙ্গত : ব্যবহারকারীর হোম ডিরেক্টরিতে লগ ইন করা একটি সাধারণ সেটআপ।

আমাদের সাইট ব্যবহার করে, আপনি স্বীকার করেছেন যে আপনি আমাদের কুকি নীতি এবং গোপনীয়তা নীতিটি পড়েছেন এবং বুঝতে পেরেছেন ।
Licensed under cc by-sa 3.0 with attribution required.