[Sysadmins] SUID SGID and NO_CREATER door in linux system

[Sysadmins] SUID SGID and NO_CREATER door in linux system

[antivir88]

[-- Attachment #1: Type: text/plain, Size: 731 bytes --]

Подскажите что делать с SUID и SGID битами на программах????
ими почти все игры как ёлки обвешаны и несколько программ, действительно ли 
стоит стать паранойкам и вычищать их от этого или же будь как будет??

Подскажи что делать с файлами у которых нет хозяина - такие появляются 
непонятно почему при создании нового пользователя...

в атачах пример файлов с описанными проблеммами.

дистрибутив: ALT Linux 4.0 Desktop

[-- Attachment #2: kmailuNHcYa.txt --]
[-- Type: text/plain, Size: 1656 bytes --]

/home/user1
/home/user1/.lpoptions
/home/user1/.bash_profile
/home/user1/.bash_logout
/home/user1/.bashrc
/home/user1/.rpmmacros
/home/user1/.mutt/lists
/home/user1/.mutt/gpg
/home/user1/.mutt/folder
/home/user1/.mutt/color
/home/user1/.mutt/alias
/home/user1/.mutt/charset
/home/user1/.mutt/bind
/home/user1/.mutt/muttrc
/home/user1/.mutt/header
/home/user1/.mutt/color.default/index
/home/user1/.mutt/color.default/color
/home/user1/.mutt/color.default/header
/home/user1/.mutt/color.default/body
/home/user1/.mutt/set
/home/user1/.mutt/color-select
/home/user2
/home/user2/.lpoptions
/home/user2/.bash_profile
/home/user2/.bash_logout
/home/user2/.bashrc
/home/user2/.rpmmacros
/home/user2/.mutt/lists
/home/user2/.mutt/gpg
/home/user2/.mutt/folder
/home/user2/.mutt/color
/home/user2/.mutt/alias
/home/user2/.mutt/charset
/home/user2/.mutt/bind
/home/user2/.mutt/muttrc
/home/user2/.mutt/header
/home/user2/.mutt/color.default/index
/home/user2/.mutt/color.default/color
/home/user2/.mutt/color.default/header
/home/user2/.mutt/color.default/body
/home/user2/.mutt/set
/home/user2/.mutt/color-select
/home/user3
/home/user3/.lpoptions
/home/user3/.bash_profile
/home/user3/.bash_logout
/home/user3/.bashrc
/home/user3/.rpmmacros
/home/user3/.mutt/lists
/home/user3/.mutt/gpg
/home/user3/.mutt/folder
/home/user3/.mutt/color
/home/user3/.mutt/alias
/home/user3/.mutt/charset
/home/user3/.mutt/bind
/home/user3/.mutt/muttrc
/home/user3/.mutt/header
/home/user3/.mutt/color.default/index
/home/user3/.mutt/color.default/color
/home/user3/.mutt/color.default/header
/home/user3/.mutt/color.default/body
/home/user3/.mutt/set
/home/user3/.mutt/color-select

[-- Attachment #3: suid_sgid_door.txt --]
[-- Type: text/plain, Size: 1357 bytes --]

/usr/bin/sudo
/usr/bin/xterm
/usr/bin/Xorg
/usr/bin/blackjack
/usr/bin/lpq-cups
/usr/bin/gataxx
/usr/bin/cdrdao
/usr/bin/lprm-cups
/usr/bin/crontab
/usr/bin/gnometris
/usr/bin/gpg
/usr/bin/cdrecord-classic
/usr/bin/lpstat-cups
/usr/bin/mahjongg
/usr/bin/kdesud
/usr/bin/lpoptions
/usr/bin/gnomine
/usr/bin/gnotski
/usr/bin/jackstart
/usr/bin/kcheckpass
/usr/bin/wall
/usr/bin/konsole
/usr/bin/passwd
/usr/bin/netlist
/usr/bin/gnibbles
/usr/bin/vdccm
/usr/bin/kppp
/usr/bin/xscreensaver
/usr/bin/gnobots2
/usr/bin/kdetvv4lsetup
/usr/bin/glines
/usr/bin/lpr-cups
/usr/bin/gnotravex
/usr/bin/gtali
/usr/bin/iagno
/usr/bin/xlock
/usr/bin/ssh-agent
/usr/bin/at
/usr/bin/lppasswd
/usr/bin/slocate
/usr/bin/wine
/usr/bin/write
/usr/bin/cancel-cups
/usr/bin/lp-cups
/usr/bin/xtest_wrapper
/usr/bin/same-gnome
/usr/libexec/hasher-priv/hasher-priv
/usr/libexec/postfix/postqueue/postqueue
/usr/lib/chkpwd/tcb_chkpwd
/usr/lib/ahttpd/chkpwd
/usr/lib/utempter/utempter
/usr/lib/squid/pinger
/usr/lib/squid/pam_auth
/usr/lib/vte/gnome-pty-helper
/usr/lib/consolehelper/helper
/usr/lib/consolehelper/priv/auth
/usr/games/kbounce
/usr/games/klickety
/usr/games/kmines
/usr/games/kfouleggs
/usr/games/knetwalk
/usr/games/kreversi
/usr/games/lbreakout2
/usr/games/ksirtet
/usr/sbin/hddtemp
/bin/su
/bin/ping
/sbin/mount.cifs
/sbin/umount.smbfs
/sbin/smbmnt
/sbin/umount.cifs

Re: [Sysadmins] SUID SGID and NO_CREATER door in linux system

[antivir88]

В сообщении от Monday 18 May 2009 02:39:38 antivir88@mail.ru написал(а):
> Подскажите что делать с SUID и SGID битами на программах????
> ими почти все игры как ёлки обвешаны и несколько программ, действительно ли
> стоит стать паранойкам и вычищать их от этого или же будь как будет??
>
> Подскажи что делать с файлами у которых нет хозяина - такие появляются
> непонятно почему при создании нового пользователя...
>
> в атачах пример файлов с описанными проблеммами.
>
> дистрибутив: ALT Linux 4.0 Desktop

Это ведь огромнейшая дыра в безопасности...

Re: [Sysadmins] SUID SGID and NO_CREATER door in linux system

[Mykola S. Grechukh]

17 мая 2009 г. 22:39 пользователь  <antivir88@mail.ru> написал:
> Подскажите что делать с SUID и SGID битами на программах????
> ими почти все игры как ёлки обвешаны и несколько программ, действительно ли
> стоит стать паранойкам и вычищать их от этого или же будь как будет??

играм, по-видимому, это нужно чтобы писать в /var/games рейтинги.

> Подскажи что делать с файлами у которых нет хозяина - такие появляются
> непонятно почему при создании нового пользователя...

что значит "нет хозяина" ?

Re: [Sysadmins] SUID SGID and NO_CREATER door in linux system

[George V. Kouryachy]

On Mon, May 18, 2009 at 02:39:38AM +0700, antivir88@mail.ru wrote:
> Подскажите что делать с SUID и SGID битами на программах????
Не трогать, особенно SGID. Если у программы отобрать SUID, она просто
перестанет работать, а вот глюки от отсутствия SGID можно не сразу
заметить.

> Подскажи что делать с файлами у которых нет хозяина - такие появляются 
> непонятно почему при создании нового пользователя...
Выражайтесь точнее. У любого файла есть UID.

> в атачах пример файлов с описанными проблеммами.
В аттачах -- пример _имён_ файлов, никаких проблем с именами нет. Могу
подозревать, что один из списков содержит SUID- и SGID-файлы.

-- 
			George V. Kouryachy (aka Fr. Br. George)
			mailto:george at altlinux_org

P.S.	И ссылочку на описание "NO_CREATER door", а то, боюсь, многие --
	как и я -- не поняли, о чём речь. Спасибо.

Re: [Sysadmins] SUID SGID and NO_CREATER door in linux system

[antivir88]

В сообщении от Wednesday 20 May 2009 01:02:38 George V. Kouryachy написал(а):
> On Mon, May 18, 2009 at 02:39:38AM +0700, antivir88@mail.ru wrote:
> > Подскажите что делать с SUID и SGID битами на программах????
>
> Не трогать, особенно SGID. Если у программы отобрать SUID, она просто
> перестанет работать, а вот глюки от отсутствия SGID можно не сразу
> заметить.
>
> > Подскажи что делать с файлами у которых нет хозяина - такие появляются
> > непонятно почему при создании нового пользователя...
>
> Выражайтесь точнее. У любого файла есть UID.
>
> > в атачах пример файлов с описанными проблеммами.
>
> В аттачах -- пример _имён_ файлов, никаких проблем с именами нет. Могу
> подозревать, что один из списков содержит SUID- и SGID-файлы.

С именами файлов проблемма решена ;)
(кстати об UID  я знал, проблемма была именно в том что они были ничейными)

А вот с SUID и SGID дверями ломать голову наверно долго придётся,
помойму почемуто кажется что проще в указаных в прошлом письме
(в атаче suid_sgid_door.txt) выключить вообще эти биты, а при наступлении 
некоторых граблей делать вывод о возврате какой-либо программе этих битов..

Re: [Sysadmins] SUID SGID and NO_CREATER door in linux system

[Andrew Avramenko]

Добрый день!

В чем Вы видите проблему в SUID/SGID битах? Если Вы сомневаетесь в
программе, то Вы же ее ставили из-под рута, значит уже у нее были все
возможности сломать Вашу систему, а после установки никто кроме рута
ее все равно не отредактирует.

Файлы с UID несуществующего пользователя появляются как правило после
того как этого пользователя удалили или при копировании с другой
системы с сохранением прав. Никакой угрозы безопасности системе они не
представляют.



-- 
With best regards,
Andrew

Re: [Sysadmins] SUID SGID and NO_CREATER door in linux system

[George V. Kouryachy]

On Wed, May 20, 2009 at 05:03:31AM +0700, antivir88@mail.ru wrote:
> >> Подскажи что делать с файлами у которых нет хозяина - такие появляются
> >> непонятно почему при создании нового пользователя...
>> Выражайтесь точнее. У любого файла есть UID.
> (кстати об UID  я знал, проблемма была именно в том что они были ничейными)
Вы так и не объяснили, что такое "ничейный файл"; впрочем, тут в
соседнем письме этот загадочный термин истолковали, и даже ответили.

> А вот с SUID и SGID дверями ломать голову наверно долго придётся,
Не надо дверями ломать голову :). Как вы считаете, что потенциально
опаснее: позволять пользователю запускать ограниченный набор программ со
сменой UID, или менять этот UID от суперпользователя вручную, чтобы потом
запустить программу?

Моё мнение:
1. Вы найдёте крайне мало программ в Sisyphus, которые после удаление
SUID/SGID будут работать так же, как и раньше.
2. Проблему безопасности SUID/SGID прогорамм иных, чем SUID root, считаю
слабоактуальной.

-- 
			George V. Kouryachy (aka Fr. Br. George)
			mailto:george at altlinux_org

P.S.	Не забывайте, что на свете очень много людей читают исходники,
	особенно SUID root программ.

Re: [Sysadmins] SUID SGID and NO_CREATER door in linux system

[Денис Смирнов]

[-- Attachment #1: Type: text/plain, Size: 870 bytes --]

On Mon, May 18, 2009 at 02:49:59PM +0700, antivir88@mail.ru wrote:
>> Подскажите что делать с SUID и SGID битами на программах????
>> ими почти все игры как ёлки обвешаны и несколько программ, действительно ли
>> стоит стать паранойкам и вычищать их от этого или же будь как будет??
>> Подскажи что делать с файлами у которых нет хозяина - такие появляются
>> непонятно почему при создании нового пользователя...
>> в атачах пример файлов с описанными проблеммами.
>> дистрибутив: ALT Linux 4.0 Desktop
> Это ведь огромнейшая дыра в безопасности...

Для начала посмотрите кто владелец у программ с SGID. У игрушек, например,
стоит SGID. Но это SGID _games_. Который бесправный пользователь, поэтому
ничего плохого в этом нет.

-- 
С уважением, Денис

http://freesource.info
----------------------------------------------------------------------------

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 197 bytes --]

Re: [Sysadmins] SUID SGID and NO_CREATER door in linux system

[Денис Смирнов]

[-- Attachment #1: Type: text/plain, Size: 1034 bytes --]

On Wed, May 20, 2009 at 05:03:31AM +0700, antivir88@mail.ru wrote:

> А вот с SUID и SGID дверями ломать голову наверно долго придётся,
> помойму почемуто кажется что проще в указаных в прошлом письме
> (в атаче suid_sgid_door.txt) выключить вообще эти биты, а при наступлении 
> некоторых граблей делать вывод о возврате какой-либо программе этих битов..

Надо сначала почитать документацию о том как работает SUID и SGID, дать по
морде тому идиоту который вам сказал что "SGID/SUID это всегда плохо", а
также подумать о том что квалификация мантейнеров в команде в плане
безопасности весьма немаленькая.

И во многих случаях отключение того же SGID приведет к множеству проблем,
и, возможно, даже к появлению security проблем. SUID/SGID если owner/group
_не_ root, обычно является важным и разумным.

А SUID root на небольшом количестве приложений, где это действительно
необходимо.

-- 
С уважением, Денис

http://freesource.info
----------------------------------------------------------------------------

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 197 bytes --]

[Sysadmins] [JT] Re: SUID SGID and NO_CREATER door in linux system

[Michael Shigorin]

On Fri, May 22, 2009 at 01:11:44AM +0400, Денис Смирнов wrote:
> > Это ведь огромнейшая дыра в безопасности...
> Для начала посмотрите кто владелец у программ с SGID. У
> игрушек, например, стоит SGID. Но это SGID _games_. Который
> бесправный пользователь, поэтому ничего плохого в этом нет.

Это пока тебе в шутку не сбросили годами вылизывавшийся
high score в xboing ;-)

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [Sysadmins] [JT] Re: SUID SGID and NO_CREATER door in linux system

[George V. Kouryachy]

On Tue, May 26, 2009 at 09:27:05PM +0300, Michael Shigorin wrote:
> Это пока тебе в шутку не сбросили годами вылизывавшийся
> high score в xboing ;-)
XBoing - Error: Xlib Error: BadMatch (invalid parameter attributes)

XBoing работает только в палитрованном режиме, т. е. -depth 8 :((

Вот бы запатчил кто :).

-- 
			George V. Kouryachy (aka Fr. Br. George)
			mailto:george at altlinux_org

Re: [Sysadmins] [JT] Re: SUID SGID and NO_CREATER door in linux system

[Michael Shigorin]

On Tue, May 26, 2009 at 10:46:37PM +0400, George V. Kouryachy wrote:
> > Это пока тебе в шутку не сбросили годами вылизывавшийся
> > high score в xboing ;-)
> XBoing - Error: Xlib Error: BadMatch (invalid parameter attributes)
> XBoing работает только в палитрованном режиме, т. е. -depth 8 :((
> Вот бы запатчил кто :).

Странно, у меня (точнее, у сестрёнки) по жизни работал в 16.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/