[Comm] /bin/su help needed!

[Comm] /bin/su help needed!

[Andrey Brindeew]

[-- Attachment #1: Type: text/plain, Size: 1722 bytes --]

Hi!

С некоторых пор на хостинге стали происходить загадочные вещи.

1. Пароль рута поменять не удается. Несмотря на сообщение об удачной
   смене реквизитов, рутовый пароль остается старым.

2. На днях решил ужесточить политику безопасности на сервере - выставил
   PermitRootLogin обратно в No и завел специального пользователя для
   провайдерских админов, настроив для него sudo.
   Изменил права на /bin/su:
   -rwx--x---    1 root     wheel       18760 Мар 21  2002 /bin/su

   Включил себя в группу wheel, перелогинился.
   Пытаемся стать рутом:
   $ su -
   su: Authentication failure

   Даже пароль перестала спрашивать.

Содержимое файла /etc/pam.d/su:
=====
#%PAM-1.0
auth    sufficient      /lib/security/pam_rootok.so
# Uncomment the following line to implicitly trust users in the "wheel"
# group.
auth    sufficient      /lib/security/pam_wheel.so debug use_uid group=wheel trust
# Uncomment the following line to require a user to be in the "wheel"
# group.
auth    required        /lib/security/pam_wheel.so debug use_uid group=wheel
# Uncomment the following line to implicitly trust users with same user
# id.
#auth   sufficient      /lib/security/pam_sameuid.so debug
auth    required        /lib/security/pam_stack.so service=system-auth
account required        /lib/security/pam_stack.so service=system-auth
password        required        /lib/security/pam_deny.so
session required        /lib/security/pam_stack.so service=system-auth
session optional        /lib/security/pam_xauth.so
=====

$ rpm -V su
.M?...G.   /bin/su
S.?....T c /etc/pam.d/su

P.S. Дистрибутив ALM 2.0, со всеми обновлениями.

-- 
WBR, Andrey Brindeew.
"No one person can understand Perl culture completely"
(C) Larry Wall.

[-- Attachment #2: Type: application/pgp-signature, Size: 245 bytes --]

Re: [Comm] /bin/su help needed!

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 1285 bytes --]

On Sun, Aug 10, 2003 at 09:59:00PM +0400, Andrey Brindeew wrote:
> 1. Пароль рута поменять не удается. Несмотря на сообщение об удачной
>    смене реквизитов, рутовый пароль остается старым.

Детали?

> 2. На днях решил ужесточить политику безопасности на сервере - выставил
>    PermitRootLogin обратно в No и завел специального пользователя для
>    провайдерских админов, настроив для него sudo.
>    Изменил права на /bin/su:
>    -rwx--x---    1 root     wheel       18760 Мар 21  2002 /bin/su

Это, очевидно, неправильно.
Не надо изобретать велосипед, поскольку есть "control su wheelonly".

>    Включил себя в группу wheel, перелогинился.
>    Пытаемся стать рутом:
>    $ su -
>    su: Authentication failure
> 
>    Даже пароль перестала спрашивать.
> 
> Содержимое файла /etc/pam.d/su:
> =====
> #%PAM-1.0
> auth    sufficient      /lib/security/pam_rootok.so
> # Uncomment the following line to implicitly trust users in the "wheel"
> # group.
> auth    sufficient      /lib/security/pam_wheel.so debug use_uid group=wheel trust

Для группы wheel пускать без пароля?
Я бы не назвал это "ужесточением политики безопасности на сервере".

> P.S. Дистрибутив ALM 2.0, со всеми обновлениями.

Т.е. у вас нет control(8)?

Тогда
chown 0:wheel /bin/su
chmod 4710 /bin/su


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [Comm] /bin/su help needed!

[Andrey Brindeew]

[-- Attachment #1: Type: text/plain, Size: 2377 bytes --]

On Mon, Aug 11, 2003 at 12:57:54AM +0400, Dmitry V. Levin wrote:
> On Sun, Aug 10, 2003 at 09:59:00PM +0400, Andrey Brindeew wrote:
> > 1. Пароль рута поменять не удается. Несмотря на сообщение об удачной
> >    смене реквизитов, рутовый пароль остается старым.
> 
> Детали?

[Mon Aug 11 01:38:38][root@tool.servers.highway.ru : ~]
# passwd

You can now choose the new password or passphrase.

A valid password should be a mix of upper and lower case letters,
digits and other characters.  You can use an 8 character long
password with characters from at least 3 of these 4 classes, or
a 7 character long password containing characters from all the
classes.  Characters that form a common pattern are discarded by
the check.

A passphrase should be of at least 3 words, 12 to 40 characters
long and contain enough different characters.

Alternatively, if noone else can see your terminal now, you can
pick this as your password: "slight_buy:sir".

Enter new password:
Re-type new password:
passwd: all authentication tokens updated successfully.
[Mon Aug 11 01:39:09][root@tool.servers.highway.ru : ~]
# ^d
[Mon Aug 11 01:40:08][abr@tool.servers.highway.ru : ~]
$ su -
Password:
su: Authentication failure
[Mon Aug 11 01:40:47][abr@tool.servers.highway.ru : ~]
$ su -
Password:
[Mon Aug 11 01:40:52][root@tool.servers.highway.ru : ~]
#

В первом случае пароль был новый, во втором - старый.

> > 2. На днях решил ужесточить политику безопасности на сервере - выставил
> >    PermitRootLogin обратно в No и завел специального пользователя для
> >    провайдерских админов, настроив для него sudo.
> >    Изменил права на /bin/su:
> >    -rwx--x---    1 root     wheel       18760 Мар 21  2002 /bin/su
> 
> Это, очевидно, неправильно.
> Не надо изобретать велосипед, поскольку есть "control su wheelonly".

Нету там его, давно бы применил бы... :-(

> Для группы wheel пускать без пароля?
> Я бы не назвал это "ужесточением политики безопасности на сервере".

Пардон, спасибо за подсказку, надо было тщательнее читать комментарии. :-(

> Т.е. у вас нет control(8)?
> 
> Тогда
> chown 0:wheel /bin/su
> chmod 4710 /bin/su

спасибо, это помогло.

А как же быть со сменой пароля рута? :-(

Права в каталоге (и на сам каталог) /etc/tcb/root никак не отличаются от
остальных аккаунтов.

-- 
WBR, Andrey Brindeew.
"No one person can understand Perl culture completely"
(C) Larry Wall.

[-- Attachment #2: Type: application/pgp-signature, Size: 245 bytes --]

Re: [Comm] /bin/su help needed!

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 350 bytes --]

On Mon, Aug 11, 2003 at 01:47:02AM +0400, Andrey Brindeew wrote:
> On Mon, Aug 11, 2003 at 12:57:54AM +0400, Dmitry V. Levin wrote:
> > On Sun, Aug 10, 2003 at 09:59:00PM +0400, Andrey Brindeew wrote:
> А как же быть со сменой пароля рута? :-(

Полагаю, что пароль меняется нормально, скорее с su что-то перемудрили и
он просто не пускает.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [Comm] /bin/su help needed!

[Alexei Takaseev]

On Mon, 11 Aug 2003 03:54:30 +0400
"Dmitry V. Levin" <ldv@altlinux.org> wrote:

> On Mon, Aug 11, 2003 at 01:47:02AM +0400, Andrey Brindeew
> wrote:
> > On Mon, Aug 11, 2003 at 12:57:54AM +0400, Dmitry V. Levin
> > wrote:
> > > On Sun, Aug 10, 2003 at 09:59:00PM +0400, Andrey Brindeew
> > > wrote:
> > А как же быть со сменой пароля рута? :-(
> Полагаю, что пароль меняется нормально, скорее с su что-то
> перемудрили и он просто не пускает.

Есть большое подозрение, что пароль меняется вовсе не у рута, а у
пальзователя, из-под которого запущено su. Что будет, если
сказать
# passwd root ?

(уже не помню на каком дистрибутиве по таким граблям ходил, с
тех пор для смены пароля всегда явно указываю пользователя)

Re: [Comm] /bin/su help needed!

[Andrey Brindeew]

[-- Attachment #1: Type: text/plain, Size: 497 bytes --]

On Mon, Aug 11, 2003 at 11:55:16AM +0900, Alexei Takaseev wrote:
> Есть большое подозрение, что пароль меняется вовсе не у рута, а у
> пальзователя, из-под которого запущено su. Что будет, если
> сказать
> # passwd root ?
> 
> (уже не помню на каком дистрибутиве по таким граблям ходил, с
> тех пор для смены пароля всегда явно указываю пользователя)

Спасибо, Алексей! Проблема была именно в этом!

-- 
WBR, Andrey Brindeew.
"No one person can understand Perl culture completely"
(C) Larry Wall.

[-- Attachment #2: Type: application/pgp-signature, Size: 245 bytes --]

[Comm] Re: /bin/su help needed!

[Vitaly Ostanin]

[-- Attachment #1: Type: text/plain, Size: 672 bytes --]

On Mon, 11 Aug 2003 07:51:27 +0400
Andrey Brindeew <abr@altlinux.ru> wrote:

> On Mon, Aug 11, 2003 at 11:55:16AM +0900, Alexei Takaseev
> wrote:
> > Есть большое подозрение, что пароль меняется вовсе не у рута,
> > а у пальзователя, из-под которого запущено su. Что будет,
> > если сказать
> > # passwd root ?
> > 
> > (уже не помню на каком дистрибутиве по таким граблям ходил, с
> > тех пор для смены пароля всегда явно указываю пользователя)
> 
> Спасибо, Алексей! Проблема была именно в этом!

Кстати, я об этом уже как-то писал. Надо бы добавить куда-нибудь
в доки.

<skipped/>

-- 
Regards, Vyt
mailto:  vyt@vzljot.ru
JID:     vyt@vzljot.ru

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [Comm] Re: /bin/su help needed!

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 732 bytes --]

On Mon, Aug 11, 2003 at 10:22:11AM +0400, Vitaly Ostanin wrote:
> On Mon, 11 Aug 2003 07:51:27 +0400, Andrey Brindeew wrote:
> > On Mon, Aug 11, 2003 at 11:55:16AM +0900, Alexei Takaseev wrote:
> > > Есть большое подозрение, что пароль меняется вовсе не у рута,
> > > а у пальзователя, из-под которого запущено su. Что будет,
> > > если сказать
> > > # passwd root ?
> > > 
> > > (уже не помню на каком дистрибутиве по таким граблям ходил, с
> > > тех пор для смены пароля всегда явно указываю пользователя)
> > 
> > Спасибо, Алексей! Проблема была именно в этом!
> 
> Кстати, я об этом уже как-то писал. Надо бы добавить куда-нибудь
> в доки.

Кстати, я собираюсь это поведение поменять обратно как не вполне адекватное.


-- 
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

[Comm] Re: /bin/su help needed!

[Vitaly Ostanin]

[-- Attachment #1: Type: text/plain, Size: 1048 bytes --]

On Mon, 11 Aug 2003 15:25:53 +0400
"Dmitry V. Levin" <ldv@altlinux.org> wrote:

> On Mon, Aug 11, 2003 at 10:22:11AM +0400, Vitaly Ostanin wrote:
> > On Mon, 11 Aug 2003 07:51:27 +0400, Andrey Brindeew wrote:
> > > On Mon, Aug 11, 2003 at 11:55:16AM +0900, Alexei Takaseev
> > > wrote:
> > > > Есть большое подозрение, что пароль меняется вовсе не у
> > > > рута, а у пальзователя, из-под которого запущено su. Что
> > > > будет, если сказать
> > > > # passwd root ?
> > > > 
> > > > (уже не помню на каком дистрибутиве по таким граблям
> > > > ходил, с тех пор для смены пароля всегда явно указываю
> > > > пользователя)
> > > 
> > > Спасибо, Алексей! Проблема была именно в этом!
> > 
> > Кстати, я об этом уже как-то писал. Надо бы добавить
> > куда-нибудь в доки.
> 
> Кстати, я собираюсь это поведение поменять обратно как не
> вполне адекватное.

Если можно, осветите это анонсом, пожалуйста. Чтобы знать, что
увековечить в доках :)

<skipped/>

-- 
Regards, Vyt
mailto:  vyt@vzljot.ru
JID:     vyt@vzljot.ru

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re[2]: [Comm] /bin/su help needed!

[Dmitry Myachin]

Hello Alexei,

Monday, August 11, 2003, 6:55:16 AM, you wrote:

AT> Есть большое подозрение, что пароль меняется вовсе не у рута, а у
AT> пальзователя, из-под которого запущено su. Что будет, если
AT> сказать
AT> # passwd root ?

AT> (уже не помню на каком дистрибутиве по таким граблям ходил, с
AT> тех пор для смены пароля всегда явно указываю пользователя)

BSD. Я в свое время аж за кинжал хватался от гнева ;-)

-- 
Best regards,
 Dmitry                            mailto:subscr@krystab.ru