From mboxrd@z Thu Jan 1 00:00:00 1970 Return-Path: Message-ID: <3D8F032F.4060205@avanto.mpei.ac.ru> Date: Mon, 23 Sep 2002 16:03:59 +0400 From: "Dmitry E. Oboukhov" User-Agent: Mozilla/5.0 (Windows; U; Windows NT 5.1; en-US; rv:1.0.1) Gecko/20020826 X-Accept-Language: ru, en-us, en MIME-Version: 1.0 To: sisyphus@altlinux.ru Subject: Re: [sisyphus] Re: chroot References: <20020923082213.GG21933@basalt.office.altlinux.ru> <3D8ED0F2.1080608@avanto.mpei.ac.ru> <20020923084008.GI21933@basalt.office.altlinux.ru> <3D8ED6AA.7030806@avanto.mpei.ac.ru> <20020923091227.GA24961@basalt.office.altlinux.ru> <3D8EE160.7000506@avanto.mpei.ac.ru> <20020923145858.E9D7B2B512@mail.ru.echo.fr> <3D8EF5BA.8070607@avanto.mpei.ac.ru> <20020923151254.9A0E52B512@mail.ru.echo.fr> <3D8EFBC2.4030909@avanto.mpei.ac.ru> <20020923115237.GA2366@ungrund> Content-Type: text/plain; charset=KOI8-R; format=flowed Content-Transfer-Encoding: 8bit Sender: sisyphus-admin@altlinux.ru Errors-To: sisyphus-admin@altlinux.ru X-BeenThere: sisyphus@altlinux.ru X-Mailman-Version: 2.0.13 Precedence: bulk Reply-To: sisyphus@altlinux.ru List-Unsubscribe: , List-Id: List-Post: List-Help: List-Subscribe: , List-Archive: Archived-At: List-Archive: > > >Эта ситуация вовсе не невероятна. Это типичная схема. Проламывается >какой-нибудь сервес, который запущен от пользователя. Теперь в системе >можно исполнять код с правами этого пользователя. В частности, можно >сделать exec* suid-программам. Пример: sudo сейчас в реальных системах >(за которыми не особо следят) бывает дырявым. Раньше со suidperl можно >было выкидывать много фокусов. > >Всё дело в том, что в чруте нет suid-программ (это принципиально). Плюс >в чруте нет всего того, что может навести взломщика на ценную мысль. > > Suid-программы конечно это Suid-программы, но только если в системе пользователь за их счет может получить рута значит, что права где-то неправильно поставлены... эта тема родилась от того, что разговаривал я тут с одним знакомым админом, он кастл (по моему) у себя держит, и считает что сломать его невозможно только от применения повсеместного чрута. ладно будем считать тему закрытой, думаю что истина здесь как всегда где-то посередине. В обоих подходах есть плюсы и минусы. Надеюсь что в чрутовом подходе здесь использованы только плюсы... > > >>еще аргументы есть ? >> >> > >Это вы нас хотите в чем-то переубедить? Или мы вас? Оставьте. > > > все всех ;)