Re: r & x Rechte , war:Re: "just got hacked"
Hallo,
On Fre, 01 Dez 2006, Stefan Padberg wrote:
> | > Hab ich, und hat geklappt: ich konnte die entsprechenden Befehle
> | > ausführen, konnte sie aber nicht lesen. Was vor allem bei Skripten ganz
> | > nett ist.
> |
> | sag uns mal genau was du gemacht hast.
> | ich bin hier ja nicht der einzige , der das anders sieht
> | (und auch gerade nochmal zur Sicherheit getestet hat)
> |
> | chmod 111 onehand.kit
> | mherweg@kubu6061$ ./onehand.kit
> | /bin/sh: ./onehand.kit: Permission denied
> |
> ich besorge mir eine root-Shell und gebe ein:
>
> # chmod 711 /usr/bin/zip
>
> z.B., überprüfe zur Sicherheit nochmal mit
>
> # ls -l /usr/bin/zip
>
> ob alles so aussieht wie es aussehen soll.
>
> Dann besorge ich mir wieder eine user-Shell und probiere den Befehl aus. Und
> siehe da, er funktioniert! Zumindest bekomme ich die help-Meldung angezeigt.
>
> Ist vielleicht unorthodox, aber funktioniert. Für binaries ist es natürlich
> sinnlos, weil die eh keiner wirklich lesen mag. Aber für bestimmte Skripte
> mit systemkritischem Potential wäre das vielleicht ganz nett, wenn man die
> nicht lesen könnte.
>
> Dachte ich mir - aber ist auch nur ein Tropfen auf den heissen Stein.
mir ist immer noch schleierhaft, weshalb man in irgend welchen Skripten ROOT
Passwoerter oder aehnliches "speichern" muss. Ich hab die letzten Jahre auf
keinem meiner Server mich jemals als ROOT anmelden muessen.
Und obiges mit den Rechte setzen, damit wirst du dich grausam schneiden.
Deine Reaktion ist so aehnlich wie:
- Ich wurde bestohlen weil ich vergass die Tuere zu zu sperren
- also kauf ich nun eine Alarmanlage, und einen Wachdienst, und eine neue
Tuer.
Bitte, schau dir doch SUDO mal an, und dann verbanne den root Login dahin
wohin er gehoert, naemlich auf die lokale Konsole fuer den Fall dass man mal
wirklich direkt was an der Maschine reparieren muss.
Wenn du deine Schuelern wirklich mehr aussperren willst, und das ist gar
nicht so einfach wenn Sie dann auch noch irgendwas sinnvolles auf den PCs
machen koennen sollen, dann schau dir SELinux oder Vserver an, GRSecurity
gibts auch noch.
--
Florian Reitmeir
Reply to: