* Re: [mdk-re] ./ in PATH
2001-09-26 17:58 [mdk-re] ./ in PATH Vladimir Karpinsky
@ 2001-09-26 18:17 ` Igor Homyakov
2001-09-26 18:40 ` Peter V. Saveliev
2001-09-26 18:17 ` [mdk-re] " Peter V. Saveliev
` (3 subsequent siblings)
4 siblings, 1 reply; 10+ messages in thread
From: Igor Homyakov @ 2001-09-26 18:17 UTC (permalink / raw)
To: mandrake-russian
----- Original Message -----
From: "Vladimir Karpinsky" <vkarpinsky@beep.ru>
To: <Mandrake-russian@altlinux.ru>
Sent: Wednesday, September 26, 2001 6:09 PM
Subject: [mdk-re] ./ in PATH
> Hello Mandrake-russian,
>
> Объясните пожалуйста мне такую штуку:
> когда-то для облегчения запуска программ из ./, я в своем(ей) .bashrc
> включил ./ в PATH. Все вроде было ничего, пока кто-то из знакомых,
> увидев это, не закричал со страшной силой: "Это делать нельзя ни в
> коем случае!" Но вот аргументировано объяснить почему это делать
> нельзя, он не смог. Я тогда-то убрал ЭТО на всякий случай, но
> неудовлетворенное любопытство гложет уже который год. Вопрос
> соответственно: можно ли ЭТО так делать или нет, если нет, то почему?
Это очень старый спор. Основная причина почему это не надо делать:
атакующий получив (или уже имея) аккоунт на вашем хосте может
записать вредоносный код в /tmp/ls (например) после чего спровоцировать
вас на cd /tmp, теперь осталось только вам выполнить ls
и "оппаньки" :)) .
В обычной жизни, достаточно не ставить . в PATH у root-а.
--
Igor Homyakov RAMAX International
System Administrator Banking Technologies Department
<homyakov(at)ramax.spb.ru> http://www.ramax.com
^ permalink raw reply [flat|nested] 10+ messages in thread* Re: [mdk-re] ./ in PATH
2001-09-26 18:17 ` Igor Homyakov
@ 2001-09-26 18:40 ` Peter V. Saveliev
2001-09-26 19:03 ` [mdk-re] [JT] " Igor Homyakov
0 siblings, 1 reply; 10+ messages in thread
From: Peter V. Saveliev @ 2001-09-26 18:40 UTC (permalink / raw)
To: mandrake-russian
Igor Homyakov wrote:
> Это очень старый спор. Основная причина почему это не надо делать:
> атакующий получив (или уже имея) аккоунт на вашем хосте может
> записать вредоносный код в /tmp/ls (например) после чего спровоцировать
> вас на cd /tmp, теперь осталось только вам выполнить ls
> и "оппаньки" :)) .
>
> В обычной жизни, достаточно не ставить . в PATH у root-а.
И в /tmp/ls не писать строчку типа "rm -rf $HOME" ;)))
А на самом деле, через некоторое время само собой приходит понимание, что
./script и script - не одно и то же, хотя бы и называется одинаково. Ведь
дело не в злоумышленниках, а в том, что сам можешь написать скрипт для
упрощения какой-либо деструктивной операции, и _забыть_ про него.
Оказавшись в нужной директории и издав соответствующую команду, сразу
поймешь, где зимуют раки. А посему - да здравствует which ls перед ее
употреблением ;))
--
Петр.
^ permalink raw reply [flat|nested] 10+ messages in thread
* [mdk-re] [JT] Re: ./ in PATH
2001-09-26 18:40 ` Peter V. Saveliev
@ 2001-09-26 19:03 ` Igor Homyakov
0 siblings, 0 replies; 10+ messages in thread
From: Igor Homyakov @ 2001-09-26 19:03 UTC (permalink / raw)
To: mandrake-russian
----- Original Message -----
From: "Peter V. Saveliev" <peet@infosite.ru>
To: <mandrake-russian@altlinux.ru>
Sent: Wednesday, September 26, 2001 6:45 PM
Subject: Re: [mdk-re] ./ in PATH
> Igor Homyakov wrote:
>
> > Это очень старый спор. Основная причина почему это не надо делать:
> > атакующий получив (или уже имея) аккоунт на вашем хосте может
> > записать вредоносный код в /tmp/ls (например) после чего спровоцировать
> > вас на cd /tmp, теперь осталось только вам выполнить ls
> > и "оппаньки" :)) .
> >
> > В обычной жизни, достаточно не ставить . в PATH у root-а.
>
> И в /tmp/ls не писать строчку типа "rm -rf $HOME" ;)))
> А на самом деле, через некоторое время само собой приходит понимание, что
> ./script и script - не одно и то же, хотя бы и называется одинаково. Ведь
> дело не в злоумышленниках, а в том, что сам можешь написать скрипт для
> упрощения какой-либо деструктивной операции, и _забыть_ про него.
> Оказавшись в нужной директории и издав соответствующую команду, сразу
> поймешь, где зимуют раки. А посему - да здравствует which ls перед ее
> употреблением ;))
Со временем приходит понимание, почему не надо называть свои скрипты
так же как стандарный утилиты (случай с test, вошел уже во все FAQ)
P.S. Меня иногда совсем "переклинивает" после solaris и начинаю
/usr/local/gnu/bin/vim набирать. :)))))
--
Igor Homyakov RAMAX International
System Administrator Banking Technologies Department
<homyakov(at)ramax.spb.ru> http://www.ramax.com
^ permalink raw reply [flat|nested] 10+ messages in thread
* Re: [mdk-re] ./ in PATH
2001-09-26 17:58 [mdk-re] ./ in PATH Vladimir Karpinsky
2001-09-26 18:17 ` Igor Homyakov
@ 2001-09-26 18:17 ` Peter V. Saveliev
2001-09-26 18:43 ` Re[2]: " Vladimir Karpinsky
2001-09-26 18:19 ` Gosha
` (2 subsequent siblings)
4 siblings, 1 reply; 10+ messages in thread
From: Peter V. Saveliev @ 2001-09-26 18:17 UTC (permalink / raw)
To: mandrake-russian
Vladimir Karpinsky wrote:
> Hello Mandrake-russian,
>
> Объясните пожалуйста мне такую штуку:
> когда-то для облегчения запуска программ из ./, я в своем(ей) .bashrc
> включил ./ в PATH. Все вроде было ничего, пока кто-то из знакомых,
> увидев это, не закричал со страшной силой: "Это делать нельзя ни в
> коем случае!" Но вот аргументировано объяснить почему это делать
> нельзя, он не смог. Я тогда-то убрал ЭТО на всякий случай, но
> неудовлетворенное любопытство гложет уже который год. Вопрос
> соответственно: можно ли ЭТО так делать или нет, если нет, то почему?
Предположим, вы - админ. А я -тот при*к, который обнаружил этот баг. А
теперь мои и Ваши действия:
peet@yourhost$ echo -e "#!/bin/sh \n /bin/rm -rf '/etc/*' \n
/sbin/shutdown -r now \n echo -e '\007 отгреби' \n" > /tmp/ls
root@yourhost# cd /tmp
root@yourhost# ls
С наилучшими,
--
Петр.
^ permalink raw reply [flat|nested] 10+ messages in thread* Re[2]: [mdk-re] ./ in PATH
2001-09-26 18:17 ` [mdk-re] " Peter V. Saveliev
@ 2001-09-26 18:43 ` Vladimir Karpinsky
0 siblings, 0 replies; 10+ messages in thread
From: Vladimir Karpinsky @ 2001-09-26 18:43 UTC (permalink / raw)
To: Peter V. Saveliev
Здравствуйте,
Wednesday, September 26, 2001, 6:23:04 PM, Вы писали:
PVS> Vladimir Karpinsky wrote:
>> Hello Mandrake-russian,
>>
>> Объясните пожалуйста мне такую штуку:
>> когда-то для облегчения запуска программ из ./, я в своем(ей) .bashrc
>> включил ./ в PATH. Все вроде было ничего, пока кто-то из знакомых,
>> увидев это, не закричал со страшной силой: "Это делать нельзя ни в
>> коем случае!" Но вот аргументировано объяснить почему это делать
>> нельзя, он не смог. Я тогда-то убрал ЭТО на всякий случай, но
>> неудовлетворенное любопытство гложет уже который год. Вопрос
>> соответственно: можно ли ЭТО так делать или нет, если нет, то почему?
PVS> Предположим, вы - админ. А я -тот при*к, который обнаружил этот баг. А
PVS> теперь мои и Ваши действия:
PVS> peet@yourhost$ echo -e "#!/bin/sh \n /bin/rm -rf '/etc/*' \n
PVS> /sbin/shutdown -r now \n echo -e '\007 отгреби' \n" > /tmp/ls
PVS> root@yourhost# cd /tmp
PVS> root@yourhost# ls
Неприятная картинка вырисовывается. Спасибо.
--
Всех благ,
Владимир
mailto:vkarpinsky@beep.ru
From ujo@zuzusoft.com Wed Sep 26 18:42:48 2001
Return-Path: <ujo@zuzusoft.com>
Delivered-To: mandrake-russian@localhost.ru.net
Received: from ujo.int.ifirst.ru (unknown [194.67.250.250])
by linux.ru.net (Postfix) with ESMTP id 35D791C68
for <mandrake-russian@altlinux.ru>; Wed, 26 Sep 2001 18:42:48 +0400 (MSD)
Received: from ujo.int.ifirst.ru (localhost.localdomain [127.0.0.1])
by ujo.int.ifirst.ru (Postfix) with SMTP id E3441BD8E
for <mandrake-russian@altlinux.ru>; Wed, 26 Sep 2001 18:54:41 +0400 (MSD)
From: "Artem K. Jouravsky" <ujo@zuzusoft.com>
To: mandrake-russian@altlinux.ru
Subject: Re: Re[2]: [mdk-re] DNS Trouble
Message-Id: <20010926185440.6e55ab2e.ujo@zuzusoft.com>
In-Reply-To: <20010926181531.2817b4dd.vyt@vzljot.ru>
References: <16983437046.20010926134342@yandex.ru>
<20010926174438.F9448@ldv.office.alt-linux.org>
<3198691250.20010926175756@yandex.ru>
<20010926181531.2817b4dd.vyt@vzljot.ru>
Organization: iFirst
X-Mailer: Sylpheed version 0.6.2 (GTK+ 1.2.10; i586-alt-linux)
Mime-Version: 1.0
Content-Type: text/plain; charset=KOI8-R
Content-Transfer-Encoding: 8bit
Sender: mandrake-russian-admin@altlinux.ru
Errors-To: mandrake-russian-admin@altlinux.ru
X-BeenThere: mandrake-russian@altlinux.ru
X-Mailman-Version: 2.0
Precedence: bulk
Reply-To: mandrake-russian@altlinux.ru
List-Help: <mailto:mandrake-russian-request@altlinux.ru?subject=help>
List-Post: <mailto:mandrake-russian@altlinux.ru>
List-Subscribe: <http://altlinux.ru/mailman/listinfo/mandrake-russian>,
<mailto:mandrake-russian-request@altlinux.ru?subject=subscribe>
List-Id: Linux-Mandrake RE / ALT Linux discussion list <mandrake-russian.altlinux.ru>
List-Unsubscribe: <http://altlinux.ru/mailman/listinfo/mandrake-russian>,
<mailto:mandrake-russian-request@altlinux.ru?subject=unsubscribe>
List-Archive: <http://altlinux.ru/pipermail/mandrake-russian/>
Date: Wed Sep 26 18:43:39 2001
X-Original-Date: Wed, 26 Sep 2001 18:54:40 +0400
Здравствуйте, Vyt <vyt@vzljot.ru>!
От Wed, 26 Sep 2001 18:15:31 +0400 вы писали на тему Re: Re[2]: [mdk-re] DNS Trouble:
> > DVL> Например, в Spring "кэширующий сервер имен" при
> установке
> > соответствующих
> > DVL> пакетов работает "из коробки".
> >
> > Ни черта он "из коробки" не работает.
>
> Работает.
Немного не в тему -
apt-cache search bind
не дал ссылок на caching-named или как он там называется, поэтому
все что ему надо я ставил вручную, только потом вспомнил как
можно. Это от чего зависит?
------
Best wishes,
+----------------------+--------------------------+
| ."-. | Work: +7-(095)-229-4278 |
| /X | _o.----. _ | ICQ: 103399444 |
|/\_ \/ / __ \_// ) | Artem K. Jouravsky |
|\__)-/_/\_____)____/ | http://www.ifirst.ru/ |
+----------------------+--------------------------+
^ permalink raw reply [flat|nested] 10+ messages in thread
* Re: [mdk-re] ./ in PATH
2001-09-26 17:58 [mdk-re] ./ in PATH Vladimir Karpinsky
2001-09-26 18:17 ` Igor Homyakov
2001-09-26 18:17 ` [mdk-re] " Peter V. Saveliev
@ 2001-09-26 18:19 ` Gosha
2001-09-26 18:34 ` cornet
2001-09-26 22:16 ` John Profic
4 siblings, 0 replies; 10+ messages in thread
From: Gosha @ 2001-09-26 18:19 UTC (permalink / raw)
To: mandrake-russian
Hi!
On Wed, 26 Sep 2001 18:09:25 +0400
Vladimir Karpinsky <vkarpinsky@beep.ru> wrote:
> Объясните пожалуйста мне такую штуку:
> когда-то для облегчения запуска программ из ./, я в своем(ей) .bashrc
> включил ./ в PATH. Все вроде было ничего, пока кто-то из знакомых,
> увидев это, не закричал со страшной силой: "Это делать нельзя ни в
> коем случае!" Но вот аргументировано объяснить почему это делать
> нельзя, он не смог. Я тогда-то убрал ЭТО на всякий случай, но
> неудовлетворенное любопытство гложет уже который год. Вопрос
> соответственно: можно ли ЭТО так делать или нет, если нет, то почему?
Это связано с безопасностью. Например, если злоумышленник сумеет
положить в Ваш каталог свой скрипт, ну к примеру с названием ls,
то сами понимаете, что может получиться при попытке использовать
комманду ls.
--
Best regards!
Igor Solovyov
Zlatoust, Russia
^ permalink raw reply [flat|nested] 10+ messages in thread
* Re: [mdk-re] ./ in PATH
2001-09-26 17:58 [mdk-re] ./ in PATH Vladimir Karpinsky
` (2 preceding siblings ...)
2001-09-26 18:19 ` Gosha
@ 2001-09-26 18:34 ` cornet
2001-09-26 22:16 ` John Profic
4 siblings, 0 replies; 10+ messages in thread
From: cornet @ 2001-09-26 18:34 UTC (permalink / raw)
To: mandrake-russian
Vladimir Karpinsky wrote:
>
> Hello Mandrake-russian,
>
> Объясните пожалуйста мне такую штуку:
> когда-то для облегчения запуска программ из ./, я в своем(ей) .bashrc
> включил ./ в PATH. Все вроде было ничего, пока кто-то из знакомых,
> увидев это, не закричал со страшной силой: "Это делать нельзя ни в
> коем случае!" Но вот аргументировано объяснить почему это делать
> нельзя, он не смог. Я тогда-то убрал ЭТО на всякий случай, но
> неудовлетворенное любопытство гложет уже который год. Вопрос
> соответственно: можно ли ЭТО так делать или нет, если нет, то почему?
Зашли Вы в хоумник к юзверю посмотреть чо да как, корки
поубивать, проконтролировать....
И сказали Вы:
ls -al
и не знали Вы, что хитрый юзверь положил в свой хоумник
исполняемый файл с именем ls, который делает например команду
rm -f /etc/passwd
а потом уже
ls $1
а вы эту программку запустили, с root'овыми правами... хе хе....
Последствия думаю обьяснять не надо...
--
******** FIRE & STEEL ********
^ permalink raw reply [flat|nested] 10+ messages in thread* Re: [mdk-re] ./ in PATH
2001-09-26 17:58 [mdk-re] ./ in PATH Vladimir Karpinsky
` (3 preceding siblings ...)
2001-09-26 18:34 ` cornet
@ 2001-09-26 22:16 ` John Profic
2001-09-28 20:43 ` [mdk-re] " Mikhail Zabaluev
4 siblings, 1 reply; 10+ messages in thread
From: John Profic @ 2001-09-26 22:16 UTC (permalink / raw)
To: mandrake-russian
Vladimir Karpinsky wrote:
> Hello Mandrake-russian,
> Объясните пожалуйста мне такую штуку:
> когда-то для облегчения запуска программ из ./, я в своем(ей) .bashrc
> включил ./ в PATH. Все вроде было ничего, пока кто-то из знакомых,
> увидев это, не закричал со страшной силой: "Это делать нельзя ни в
> коем случае!" Но вот аргументировано объяснить почему это делать
> нельзя, он не смог. Я тогда-то убрал ЭТО на всякий случай, но
> неудовлетворенное любопытство гложет уже который год. Вопрос
> соответственно: можно ли ЭТО так делать или нет, если нет, то почему?
Где-то я читал развернутую дискуссию об этом :)
Только есть одно но, все предыдущие ораторы (во как загнул :)) исходили
из того, что ./ находится в начале пути, а что если оно в конце? Ведь
поиск идет от начала к концу? Или я не прав?
Тогда, даже если человек положит в /tmp/ls что либо, он не будет вызван,
поскольку будет вызван стандартный ls :)
Мое IMHO для пользователя иметь ./ в PATH в конце всего т.е. в .bashrc
export PATH=$PATH:./
У root-а же не иметь вообще :)
--
Best regards,
John Profic <profic@lrn.ru>
Written by Mozilla 0.9.4
using ASPLinux release 1.1 with ru_RU.CP1251,
system: kernel 2.4.10-xfs-p1; glibc 2.2.4; gcc 3.0.1; XFree86 4.1.0;
^ permalink raw reply [flat|nested] 10+ messages in thread* [mdk-re] Re: ./ in PATH
2001-09-26 22:16 ` John Profic
@ 2001-09-28 20:43 ` Mikhail Zabaluev
0 siblings, 0 replies; 10+ messages in thread
From: Mikhail Zabaluev @ 2001-09-28 20:43 UTC (permalink / raw)
To: mandrake-russian
Hello John,
On Wed, Sep 26, 2001 at 10:23:16PM +0400, John Profic wrote:
>
> Vladimir Karpinsky wrote:
>
> > Hello Mandrake-russian,
> > Объясните пожалуйста мне такую штуку:
> > когда-то для облегчения запуска программ из ./, я в своем(ей) .bashrc
> > включил ./ в PATH. Все вроде было ничего, пока кто-то из знакомых,
> > увидев это, не закричал со страшной силой: "Это делать нельзя ни в
> > коем случае!" Но вот аргументировано объяснить почему это делать
> > нельзя, он не смог. Я тогда-то убрал ЭТО на всякий случай, но
> > неудовлетворенное любопытство гложет уже который год. Вопрос
> > соответственно: можно ли ЭТО так делать или нет, если нет, то почему?
>
> Где-то я читал развернутую дискуссию об этом :)
> Только есть одно но, все предыдущие ораторы (во как загнул :)) исходили
> из того, что ./ находится в начале пути, а что если оно в конце? Ведь
> поиск идет от начала к концу? Или я не прав?
> Тогда, даже если человек положит в /tmp/ls что либо, он не будет вызван,
> поскольку будет вызван стандартный ls :)
> Мое IMHO для пользователя иметь ./ в PATH в конце всего т.е. в .bashrc
> export PATH=$PATH:./
Тогда могут поймать на команде, которой нет в системном PATH. Или на
распространенной опечатке (в .bashrc одного админа я видел
alias mroe=more :))
Вообще, есть правило, ясное для любого, кто, например, долго
программировал на Perl: все потенциально опасные действия лучше
прописывать явно.
Кстати, / на конце не нужен.
--
Stay tuned,
MhZ JID: mookid@jabber.org
___________
It doesn't matter what you do, it only matters what you say you've
done and what you're going to do.
^ permalink raw reply [flat|nested] 10+ messages in thread