From mboxrd@z Thu Jan  1 00:00:00 1970
Return-Path: <at@turbinal.org>
Date: Tue, 3 Dec 2002 15:56:39 +0300
From: Alexey Tourbin <at@turbinal.org>
To: ALT Linux general discussion list <community@altlinux.ru>
Message-ID: <20021203125639.GA4104@ungrund>
Mail-Followup-To: ALT Linux general discussion list <community@altlinux.ru>
References: <20021119111254.GA26603@router.rega.ru> <3DDA41A4.5000601@rodtext.indi.ru> <20021119190005.4de21b2b.aml@softex.ru> <20021120091822.GL19743@ifirst.ru> <20021201002107.GD16531@basalt.office.altlinux.ru>
Mime-Version: 1.0
Content-Type: text/plain; charset=koi8-r
Content-Disposition: inline
Content-Transfer-Encoding: 8bit
In-Reply-To: <20021201002107.GD16531@basalt.office.altlinux.ru>
Subject: [Comm] Re: read-only system
Sender: community-admin@altlinux.ru
Errors-To: community-admin@altlinux.ru
X-BeenThere: community@altlinux.ru
X-Mailman-Version: 2.0.9
Precedence: bulk
Reply-To: community@altlinux.ru
List-Unsubscribe: <http://www.altlinux.ru/mailman/listinfo/community>,
	<mailto:community-request@altlinux.ru?subject=unsubscribe>
List-Id: <community.altlinux.ru>
List-Post: <mailto:community@altlinux.ru>
List-Help: <mailto:community-request@altlinux.ru?subject=help>
List-Subscribe: <http://www.altlinux.ru/mailman/listinfo/community>,
	<mailto:community-request@altlinux.ru?subject=subscribe>
List-Archive: <http://www.altlinux.ru/pipermail/community/>
Archived-At: <http://lore.altlinux.org/community/20021203125639.GA4104@ungrund/>
List-Archive: <http://lore.altlinux.org/community/>
List-Post: <mailto:mandrake-russian@linuxteam.iplabs.ru>

On Sun, Dec 01, 2002 at 03:21:07AM +0300, Dmitry V. Levin wrote:
> > * Всё было смонтировано RO, всё что требовало записи (/var, например) было
> >   смонтировано noexec. 
> > * mount был пропатчен, чтобы работать только в init 1, т.о. перемонтировать
> >   раздел становилось возможным только в single user
> > * были убраны компиляторы, perl, вообще практически всё лишнее. Как было
> >   написано в сопроводительной записке: "Таким образом, потенциальному
> >   взломщику останутся только shell скрипты даже при получении доступа root"
> 
> ... и возможность залить недостающий инструментарий по сети:
> $ cp -p /bin/ls ~/tmp/
> $ chmod 400 ~/tmp/ls
> $ /lib/ld-linux.so.2 ~/tmp/ls /             
> bin  boot  dev  etc  home  lib  mnt  opt  proc  root  sbin  tmp  usr  var
> 
> Так что в записке содержалось легко опрвержимое утверждение.

Можно чуть подробнее? Т.е. вы хотите сказать, что монтирование noexec по
существу ничего не дает?

> P.S. Как вы думаете, почему я предпочитаю readonly chroot?

Потому что в чруте есть /lib/ld-linux.so.2?
А можно ли с него снять chmod -x?
Я просто плохо разбираюсь, как это всё подцепляется.

> --
> ldv

-- 
WBR, Alexey Tourbin	"He is a sane man who can have tragedy 
BIOZAK Ltd., Russia	 in his heart and comedy in his head."
					--G.K.Chesterton