Tudd Intuíció, előadás, folyamat-menedzsment
Alkalmazás indítása nevében a tulajdonos a pályázati dokumentáció
Jellegzetesen, a hatásos folyamat azonosítók és a csoport tulajdonosa kap folyamatot örökölt a szülő folyamat. De bizonyos esetekben szükséges a program futtatásához általánosan nagyobb, mint a jogot arra, hogy a felhasználó. Például, meg kell változtatni a jelszót. Ez megköveteli egy bejegyzést az / etc / shadow. Másrészt, lehetetlen, hogy minden felhasználó jogosult: hirtelen meg fog változni, nem csak a jelszót. Ki ne szeretné, hogy egy kellemes meglepetés, hogy egy kolléga? Mit kell tenni? Ha azt hitted, hogy az út, hogy minden jelszavak változik csak a rendszergazda. messze van az igazságtól.
Az ötlet az, hogy a megfelelő bejegyzést az / etc / shadow nem tud adni egy adott felhasználó és a program passwd (mint tudjuk, ez megváltoztatja a jelszót, akkor a program). Sajnos nincs olyan mechanizmus, amely a UNIX, amely lehetővé teszi, hogy bármilyen jogot az egyes folyamat vagy alkalmazás. Ezért a megfelelő bejegyzést az / etc / shadow által megadott root felhasználó (így ő lett a tulajdonosa a fájlt, és olvasási joga a fájl tulajdonosa - emlékszik, hogyan kell ezt a chmod?), És a passwd program lehetővé tette minden fut nevében annak tulajdonosa - gyökér.
Ez a jog (a program futtatásához nevében a tulajdonos) egy speciális hozzáférési jogot a fájl, ez az úgynevezett SUID (set User ID). Tény, hogy a fájlt a SUID bit készlet, felelős a hozzáférési jogot. Mindig kerül végrehajtásra, a tényleges felhasználói azonosító a folyamat tulajdonosa. egyenlő az ID a fájl tulajdonosa.
Ahogy emlékszem, az általános megjelenését a szavak a hozzáférési jogok a következők:
Egyes UNIX rendszerek is rendelkezésre állnak ezek közül csupán egy két formában.
Bit beállítása effektív csoport azonosítója (GUID), hogy végre start-up fájl érvényes SUID hasonló módon, hogyan és mikor kicsit SUID szerelt SGID okozza a besorolási folyamat. végrehajtható kódot tartalmaz a fájl fut, a hatásos csoportazonosító egyenlő a csoport ID fájlt.
A kimenet az ls parancs fájl SUID és SGID bit különbözik a többitől, hogy a területen, ami általában érdemes az „x” (vypolnyaemosti bit), a karakter „s”:
Ez azt jelenti, hogy mindkét bit van jelen: és zapuskaemosti bit, és a bit SUID (vagy SGID, sorrendben). Ha megpróbálja beállítani a SUID vagy SGID bit egy fájlt, amely a megfelelő hozzáférési jog (tulajdonos, vagy csoport) nem lesz zapuskaemosti bites, akkor a rendszer nem fog csinálni. Ami a könyvtár SUID és SGID bit van egy másik jelentése, a bitek SUID / SGID bit, és a jogot, hogy keresni a könyvtárban külön beállítható. A kimeneti ls a hozzáférési jogokat a könyvtár keresést hiányában a jog és a jelenléte bitek SUID / SGID S betű a kimenet a hozzáférési jogok kerül aktiválásra:
Megjegyzés: a hozzáférési jogokat az enum könyvtárba. Magyarázata SUID / GUID a katalógusban megadott 6. fejezet.
Találd meg az összes fájlok, amelyek SUID bit készlet, akkor a parancs
és fájlok SGID bittel - csapat
Annak megakadályozása érdekében feltöri a rendszert, kezelje figyelmesen a fájlok hozzáférési jogok futhatnak őket mások nevében. A megjelenése ezeket a fájlokat a rendszer, hogy az élet könnyebb egy támadó. passwd programot. például meg van írva, oly módon, hogy fut a felhasználó nem tudja használni, hogy semmit, de változtatni a saját jelszavát. Ezért lehet bízni, hogy root-ként fut. De hol van a garancia arra, hogy minden más program telepítése a SUID ugyanaz? Telepítse a SUID bit csak azok a programok, amelyekben megbízunk száz százalék!
Az új fájlok <подозрительными> hozzáférési jogok jelezheti, hogy megpróbálja megtörni a rendszert, így ha telepíti az operációs rendszer egyes beállítása automatikusan egy egyszerű script, amely a fenti parancs keresni ezeket a fájlokat a pályaszakasz hozzá az utolsó nap a SUID bit. Például a FreeBSD ez történik a script / etc / naponta. napi ellenőrzése a rendszer állapotát.
Logikus, hogy megbizonyosodjon arról, hogy ezek az új fájlok jelentek meg az okokat ismert meg.
Előtér és a háttér folyamatok
Kapcsolat konfigurációs történik csapat
Ha a háttér folyamat megpróbálja jelenik meg semmi a terminálon. kialakítva, hogy működik tostop módban. A folyamat küldi SIGSTOP jelet. Folyamatot. kapott ilyen jelzést. megálló (fordította az állam leáll).
Futtatni a háttérben folyamatot a héj kell adni a parancsot, kiegészítve azt a „” (ampersend):