[mdk-re] ./ in PATH

[mdk-re] ./ in PATH

[Vladimir Karpinsky]

Hello Mandrake-russian,

Объясните пожалуйста мне такую штуку:
когда-то для облегчения запуска программ из ./, я в своем(ей) .bashrc
включил ./ в PATH. Все вроде было ничего, пока кто-то из знакомых,
увидев это, не закричал со страшной силой: "Это делать нельзя ни в
коем случае!" Но вот аргументировано объяснить почему это делать
нельзя, он не смог. Я тогда-то убрал ЭТО на всякий случай, но
неудовлетворенное любопытство гложет уже который год. Вопрос
соответственно: можно ли ЭТО так делать или нет, если нет, то почему?
  

-- 
Best regards,
 Vladimir                          mailto:vkarpinsky@beep.ru



From a.bokovoy@sam-solutions.net  Wed Sep 26 17:59:51 2001
Return-Path: <a.bokovoy@sam-solutions.net>
Delivered-To: mandrake-russian@localhost.ru.net
Received: from mail.belcaf.minsk.by (mail.belcaf.minsk.by [217.21.35.41])
	by linux.ru.net (Postfix) with ESMTP id F29CE20F5
	for <mandrake-russian@altlinux.ru>; Wed, 26 Sep 2001 17:59:49 +0400 (MSD)
Received: from pc152.belcaf.minsk.by ([192.168.111.180]) by
          mail.belcaf.minsk.by (Netscape Messaging Server 4.15) with ESMTP
          id GK9WIY00.NOV for <mandrake-russian@altlinux.ru>; Wed, 26 Sep
          2001 17:06:34 +0300 
Received: by pc152.belcaf.minsk.by (Postfix, from userid 501)
	id 0444573F; Wed, 26 Sep 2001 17:08:59 +0300 (EEST)
From: Alexander Bokovoy <a.bokovoy@sam-solutions.net>
To: mandrake-russian@altlinux.ru
Message-ID: <20010926170859.I1603@pc152.belcaf.minsk.by>
Mail-Followup-To: mandrake-russian@altlinux.ru
References: <200109260636.f8Q6aZY63276@www2.mailru.com> <20010926150110.C1603@pc152.belcaf.minsk.by> <20010926171814.57575a66.sssku@online.ru>
Mime-Version: 1.0
Content-Type: text/plain; charset=koi8-r
Content-Disposition: inline
Content-Transfer-Encoding: 8bit
In-Reply-To: <20010926171814.57575a66.sssku@online.ru>
User-Agent: Mutt/1.3.22.1i
Subject: [mdk-re] Re: Reiserfs
Sender: mandrake-russian-admin@altlinux.ru
Errors-To: mandrake-russian-admin@altlinux.ru
X-BeenThere: mandrake-russian@altlinux.ru
X-Mailman-Version: 2.0
Precedence: bulk
Reply-To: mandrake-russian@altlinux.ru
List-Help: <mailto:mandrake-russian-request@altlinux.ru?subject=help>
List-Post: <mailto:mandrake-russian@altlinux.ru>
List-Subscribe: <http://altlinux.ru/mailman/listinfo/mandrake-russian>,
	<mailto:mandrake-russian-request@altlinux.ru?subject=subscribe>
List-Id: Linux-Mandrake RE / ALT Linux discussion list <mandrake-russian.altlinux.ru>
List-Unsubscribe: <http://altlinux.ru/mailman/listinfo/mandrake-russian>,
	<mailto:mandrake-russian-request@altlinux.ru?subject=unsubscribe>
List-Archive: <http://altlinux.ru/pipermail/mandrake-russian/>
Date: Wed Sep 26 18:00:00 2001
X-Original-Date: Wed, 26 Sep 2001 17:08:59 +0300

On Wed, Sep 26, 2001 at 05:18:14PM +0400, Sergey S. Skulachenko wrote:
> On Wed, 26 Sep 2001 15:01:10 +0300
> Alexander Bokovoy <a.bokovoy@sam-solutions.net> wrote:
> 
> >> В Reiser хреново обстоит дело с badblock-ами.
> > В ядро 2.4.10 вошел патч, немного оптимизирующий эту работу.
> 
> Александр!
> А Вы не забыли про обещание положить на сервер свой доклад на
> семинаре? И хорошо бы к нему приложить коротенькое руководство
> "Как приступить к экспериментам на живой машине".
Не забыл. И даже помню собственные слова о времени публикации -- конец
октября, поскольку доклад базировался на исследовании, проводимом нашей
компанией перед началом разработки новой версии продукта и решения на
основании результатов исследования еще не приняты.
-- 
/ Alexander Bokovoy
$ cat /proc/identity >~/.signature
  `Senior software developer and analyst for SaM-Solutions Ltd.`
---
Happiness is a hard disk.

Re: [mdk-re] ./ in PATH

[Igor Homyakov]

----- Original Message -----
From: "Vladimir Karpinsky" <vkarpinsky@beep.ru>
To: <Mandrake-russian@altlinux.ru>
Sent: Wednesday, September 26, 2001 6:09 PM
Subject: [mdk-re] ./ in PATH


> Hello Mandrake-russian,
>
> Объясните пожалуйста мне такую штуку:
> когда-то для облегчения запуска программ из ./, я в своем(ей) .bashrc
> включил ./ в PATH. Все вроде было ничего, пока кто-то из знакомых,
> увидев это, не закричал со страшной силой: "Это делать нельзя ни в
> коем случае!" Но вот аргументировано объяснить почему это делать
> нельзя, он не смог. Я тогда-то убрал ЭТО на всякий случай, но
> неудовлетворенное любопытство гложет уже который год. Вопрос
> соответственно: можно ли ЭТО так делать или нет, если нет, то почему?

Это очень старый спор. Основная причина почему это не надо делать:
атакующий получив (или уже имея) аккоунт на вашем хосте может
записать вредоносный код в /tmp/ls (например) после чего спровоцировать
вас на cd /tmp, теперь осталось только вам выполнить ls
и "оппаньки" :)) .

В обычной жизни, достаточно не ставить . в PATH у root-а.

--
Igor Homyakov                            RAMAX International
System Administrator         Banking Technologies Department
<homyakov(at)ramax.spb.ru>              http://www.ramax.com

Re: [mdk-re] ./ in PATH

[Peter V. Saveliev]

Vladimir Karpinsky wrote:

> Hello Mandrake-russian,
>
> Объясните пожалуйста мне такую штуку:
> когда-то для облегчения запуска программ из ./, я в своем(ей) .bashrc
> включил ./ в PATH. Все вроде было ничего, пока кто-то из знакомых,
> увидев это, не закричал со страшной силой: "Это делать нельзя ни в
> коем случае!" Но вот аргументировано объяснить почему это делать
> нельзя, он не смог. Я тогда-то убрал ЭТО на всякий случай, но
> неудовлетворенное любопытство гложет уже который год. Вопрос
> соответственно: можно ли ЭТО так делать или нет, если нет, то почему?

Предположим, вы - админ. А я -тот при*к, который обнаружил этот баг. А
теперь мои и Ваши действия:

peet@yourhost$ echo -e "#!/bin/sh \n /bin/rm -rf '/etc/*' \n
/sbin/shutdown -r now \n echo -e '\007 отгреби' \n" > /tmp/ls
root@yourhost# cd /tmp
root@yourhost# ls

С наилучшими,
--
Петр.

Re: [mdk-re] ./ in PATH

[Gosha]

Hi!
On Wed, 26 Sep 2001 18:09:25 +0400
Vladimir Karpinsky <vkarpinsky@beep.ru> wrote:

> Объясните пожалуйста мне такую штуку:
> когда-то для облегчения запуска программ из ./, я в своем(ей) .bashrc
> включил ./ в PATH. Все вроде было ничего, пока кто-то из знакомых,
> увидев это, не закричал со страшной силой: "Это делать нельзя ни в
> коем случае!" Но вот аргументировано объяснить почему это делать
> нельзя, он не смог. Я тогда-то убрал ЭТО на всякий случай, но
> неудовлетворенное любопытство гложет уже который год. Вопрос
> соответственно: можно ли ЭТО так делать или нет, если нет, то почему?

Это связано с безопасностью. Например, если злоумышленник сумеет
положить в Ваш каталог свой скрипт, ну к примеру с названием ls,
то сами понимаете, что может получиться при попытке использовать
комманду ls.

-- 
Best regards!
Igor Solovyov
Zlatoust, Russia

Re: [mdk-re] ./ in PATH

[cornet]

Vladimir Karpinsky wrote:
> 
> Hello Mandrake-russian,
> 
> Объясните пожалуйста мне такую штуку:
> когда-то для облегчения запуска программ из ./, я в своем(ей) .bashrc
> включил ./ в PATH. Все вроде было ничего, пока кто-то из знакомых,
> увидев это, не закричал со страшной силой: "Это делать нельзя ни в
> коем случае!" Но вот аргументировано объяснить почему это делать
> нельзя, он не смог. Я тогда-то убрал ЭТО на всякий случай, но
> неудовлетворенное любопытство гложет уже который год. Вопрос
> соответственно: можно ли ЭТО так делать или нет, если нет, то почему?

Зашли Вы в хоумник к юзверю посмотреть чо да как, корки
поубивать, проконтролировать....
И сказали Вы:
ls -al
и не знали Вы, что хитрый юзверь положил в свой хоумник
исполняемый файл с именем ls, который делает например команду
rm -f /etc/passwd
а потом уже
ls $1
а вы эту программку запустили, с root'овыми правами... хе хе....
Последствия думаю обьяснять не надо...

-- 
******** FIRE & STEEL ********

Re: [mdk-re] ./ in PATH

[Peter V. Saveliev]

Igor Homyakov wrote:

> Это очень старый спор. Основная причина почему это не надо делать:
> атакующий получив (или уже имея) аккоунт на вашем хосте может
> записать вредоносный код в /tmp/ls (например) после чего спровоцировать
> вас на cd /tmp, теперь осталось только вам выполнить ls
> и "оппаньки" :)) .
>
> В обычной жизни, достаточно не ставить . в PATH у root-а.

И в /tmp/ls не писать строчку типа "rm -rf $HOME"       ;)))
А на самом деле, через некоторое время само собой приходит понимание, что
./script и script - не одно и то же, хотя бы и называется одинаково. Ведь
дело не в злоумышленниках, а в том, что сам можешь написать скрипт для
упрощения какой-либо деструктивной операции, и _забыть_ про него.
Оказавшись в нужной директории и издав соответствующую команду, сразу
поймешь, где зимуют раки. А посему - да здравствует which ls перед ее
употреблением ;))

--
Петр.

Re[2]: [mdk-re] ./ in PATH

[Vladimir Karpinsky]

Здравствуйте,

Wednesday, September 26, 2001, 6:23:04 PM, Вы писали:

PVS> Vladimir Karpinsky wrote:

>> Hello Mandrake-russian,
>>
>> Объясните пожалуйста мне такую штуку:
>> когда-то для облегчения запуска программ из ./, я в своем(ей) .bashrc
>> включил ./ в PATH. Все вроде было ничего, пока кто-то из знакомых,
>> увидев это, не закричал со страшной силой: "Это делать нельзя ни в
>> коем случае!" Но вот аргументировано объяснить почему это делать
>> нельзя, он не смог. Я тогда-то убрал ЭТО на всякий случай, но
>> неудовлетворенное любопытство гложет уже который год. Вопрос
>> соответственно: можно ли ЭТО так делать или нет, если нет, то почему?

PVS> Предположим, вы - админ. А я -тот при*к, который обнаружил этот баг. А
PVS> теперь мои и Ваши действия:

PVS> peet@yourhost$ echo -e "#!/bin/sh \n /bin/rm -rf '/etc/*' \n
PVS> /sbin/shutdown -r now \n echo -e '\007 отгреби' \n" > /tmp/ls
PVS> root@yourhost# cd /tmp
PVS> root@yourhost# ls

Неприятная картинка вырисовывается. Спасибо.


-- 
Всех благ,
            Владимир

mailto:vkarpinsky@beep.ru



From ujo@zuzusoft.com  Wed Sep 26 18:42:48 2001
Return-Path: <ujo@zuzusoft.com>
Delivered-To: mandrake-russian@localhost.ru.net
Received: from ujo.int.ifirst.ru (unknown [194.67.250.250])
	by linux.ru.net (Postfix) with ESMTP id 35D791C68
	for <mandrake-russian@altlinux.ru>; Wed, 26 Sep 2001 18:42:48 +0400 (MSD)
Received: from ujo.int.ifirst.ru (localhost.localdomain [127.0.0.1])
	by ujo.int.ifirst.ru (Postfix) with SMTP id E3441BD8E
	for <mandrake-russian@altlinux.ru>; Wed, 26 Sep 2001 18:54:41 +0400 (MSD)
From: "Artem K. Jouravsky" <ujo@zuzusoft.com>
To: mandrake-russian@altlinux.ru
Subject: Re: Re[2]: [mdk-re] DNS Trouble
Message-Id: <20010926185440.6e55ab2e.ujo@zuzusoft.com>
In-Reply-To: <20010926181531.2817b4dd.vyt@vzljot.ru>
References: <16983437046.20010926134342@yandex.ru>
	<20010926174438.F9448@ldv.office.alt-linux.org>
	<3198691250.20010926175756@yandex.ru>
	<20010926181531.2817b4dd.vyt@vzljot.ru>
Organization: iFirst
X-Mailer: Sylpheed version 0.6.2 (GTK+ 1.2.10; i586-alt-linux)
Mime-Version: 1.0
Content-Type: text/plain; charset=KOI8-R
Content-Transfer-Encoding: 8bit
Sender: mandrake-russian-admin@altlinux.ru
Errors-To: mandrake-russian-admin@altlinux.ru
X-BeenThere: mandrake-russian@altlinux.ru
X-Mailman-Version: 2.0
Precedence: bulk
Reply-To: mandrake-russian@altlinux.ru
List-Help: <mailto:mandrake-russian-request@altlinux.ru?subject=help>
List-Post: <mailto:mandrake-russian@altlinux.ru>
List-Subscribe: <http://altlinux.ru/mailman/listinfo/mandrake-russian>,
	<mailto:mandrake-russian-request@altlinux.ru?subject=subscribe>
List-Id: Linux-Mandrake RE / ALT Linux discussion list <mandrake-russian.altlinux.ru>
List-Unsubscribe: <http://altlinux.ru/mailman/listinfo/mandrake-russian>,
	<mailto:mandrake-russian-request@altlinux.ru?subject=unsubscribe>
List-Archive: <http://altlinux.ru/pipermail/mandrake-russian/>
Date: Wed Sep 26 18:43:39 2001
X-Original-Date: Wed, 26 Sep 2001 18:54:40 +0400

Здравствуйте, Vyt <vyt@vzljot.ru>!
От Wed, 26 Sep 2001 18:15:31 +0400 вы писали на тему Re: Re[2]: [mdk-re] DNS Trouble:

> > DVL> Например, в Spring "кэширующий сервер имен" при
> установке
> > соответствующих
> > DVL> пакетов работает "из коробки".
> > 
> > Ни черта он "из коробки" не работает.
> 
> Работает.
Немного не в тему - 
apt-cache search bind

не дал ссылок на caching-named или как он там называется, поэтому
все что ему надо я ставил вручную, только потом вспомнил как
можно. Это от чего зависит?

------
Best wishes,
+----------------------+--------------------------+
|  ."-.                |  Work: +7-(095)-229-4278 |
| /X  | _o.----.    _  |  ICQ:  103399444         |
|/\_  \/ /  __  \_// ) |  Artem K. Jouravsky      |
|\__)-/_/\_____)____/  |  http://www.ifirst.ru/   |
+----------------------+--------------------------+		      

[mdk-re] [JT] Re: ./ in PATH

[Igor Homyakov]

----- Original Message -----
From: "Peter V. Saveliev" <peet@infosite.ru>
To: <mandrake-russian@altlinux.ru>
Sent: Wednesday, September 26, 2001 6:45 PM
Subject: Re: [mdk-re] ./ in PATH


> Igor Homyakov wrote:
>
> > Это очень старый спор. Основная причина почему это не надо делать:
> > атакующий получив (или уже имея) аккоунт на вашем хосте может
> > записать вредоносный код в /tmp/ls (например) после чего спровоцировать
> > вас на cd /tmp, теперь осталось только вам выполнить ls
> > и "оппаньки" :)) .
> >
> > В обычной жизни, достаточно не ставить . в PATH у root-а.
>
> И в /tmp/ls не писать строчку типа "rm -rf $HOME"       ;)))
> А на самом деле, через некоторое время само собой приходит понимание, что
> ./script и script - не одно и то же, хотя бы и называется одинаково. Ведь
> дело не в злоумышленниках, а в том, что сам можешь написать скрипт для
> упрощения какой-либо деструктивной операции, и _забыть_ про него.
> Оказавшись в нужной директории и издав соответствующую команду, сразу
> поймешь, где зимуют раки. А посему - да здравствует which ls перед ее
> употреблением ;))

Со временем приходит понимание, почему не надо называть свои скрипты
так же как стандарный утилиты (случай с test, вошел уже во все FAQ)

P.S. Меня иногда совсем "переклинивает" после solaris и начинаю
    /usr/local/gnu/bin/vim набирать. :)))))
--
Igor Homyakov                            RAMAX International
System Administrator         Banking Technologies Department
<homyakov(at)ramax.spb.ru>              http://www.ramax.com

Re: [mdk-re] ./ in PATH

[John Profic]

Vladimir Karpinsky wrote:

> Hello Mandrake-russian,
> Объясните пожалуйста мне такую штуку:
> когда-то для облегчения запуска программ из ./, я в своем(ей) .bashrc
> включил ./ в PATH. Все вроде было ничего, пока кто-то из знакомых,
> увидев это, не закричал со страшной силой: "Это делать нельзя ни в
> коем случае!" Но вот аргументировано объяснить почему это делать
> нельзя, он не смог. Я тогда-то убрал ЭТО на всякий случай, но
> неудовлетворенное любопытство гложет уже который год. Вопрос
> соответственно: можно ли ЭТО так делать или нет, если нет, то почему?

Где-то я читал развернутую дискуссию об этом :)
Только есть одно но, все предыдущие ораторы (во как загнул :)) исходили 
из того, что ./ находится в начале пути, а что если оно в конце? Ведь 
поиск идет от начала к концу? Или я не прав?
Тогда, даже если человек положит в /tmp/ls что либо, он не будет вызван, 
поскольку будет вызван стандартный ls :)
Мое IMHO для пользователя иметь ./ в PATH в конце всего т.е. в .bashrc
export PATH=$PATH:./
У root-а же не иметь вообще :)
-- 
Best regards,
  John Profic <profic@lrn.ru>
Written by Mozilla 0.9.4
using ASPLinux release 1.1 with ru_RU.CP1251,
system: kernel 2.4.10-xfs-p1; glibc 2.2.4; gcc 3.0.1; XFree86 4.1.0;

[mdk-re] Re: ./ in PATH

[Mikhail Zabaluev]

Hello John,

On Wed, Sep 26, 2001 at 10:23:16PM +0400, John Profic wrote:
>
> Vladimir Karpinsky wrote:
> 
> > Hello Mandrake-russian,
> > Объясните пожалуйста мне такую штуку:
> > когда-то для облегчения запуска программ из ./, я в своем(ей) .bashrc
> > включил ./ в PATH. Все вроде было ничего, пока кто-то из знакомых,
> > увидев это, не закричал со страшной силой: "Это делать нельзя ни в
> > коем случае!" Но вот аргументировано объяснить почему это делать
> > нельзя, он не смог. Я тогда-то убрал ЭТО на всякий случай, но
> > неудовлетворенное любопытство гложет уже который год. Вопрос
> > соответственно: можно ли ЭТО так делать или нет, если нет, то почему?
> 
> Где-то я читал развернутую дискуссию об этом :)
> Только есть одно но, все предыдущие ораторы (во как загнул :)) исходили 
> из того, что ./ находится в начале пути, а что если оно в конце? Ведь 
> поиск идет от начала к концу? Или я не прав?
> Тогда, даже если человек положит в /tmp/ls что либо, он не будет вызван, 
> поскольку будет вызван стандартный ls :)
> Мое IMHO для пользователя иметь ./ в PATH в конце всего т.е. в .bashrc
> export PATH=$PATH:./

Тогда могут поймать на команде, которой нет в системном PATH. Или на
распространенной опечатке (в .bashrc одного админа я видел
alias mroe=more :))

Вообще, есть правило, ясное для любого, кто, например, долго
программировал на Perl: все потенциально опасные действия лучше
прописывать явно.

Кстати, / на конце не нужен.

-- 
Stay tuned,
  MhZ                                     JID: mookid@jabber.org
___________
It doesn't matter what you do, it only matters what you say you've
done and what you're going to do.