Forum Debian Users Gang

@Jacku

Mozesz mi dac przyklad nakladania flagi na sztywno pod debianem dla nowo dodanego programu, ktorego PaX blokuje czyli mprotect ? Tak, zeby dzialal.

root@ns321124:/usr/src/linux_grsec# cat .config | grep CONFIG_PAX_PT_PAX_FLAGS
CONFIG_PAX_PT_PAX_FLAGS=y

I co ja mam z tym zrobic teraz ?

Drogi Jacku czasami uwazam, ze jestes tak zadufany w grsec i innych rzeczach, ze nawet nie pamietasz albo nie chcesz pamietac co pisze/pisalem do ciebie. PRzykladem jest twoj pytanie o TPE. TPE pod FreeBSD jest od parunastu lat jak jest modul mac_bsdextended.
Przykładowo u mnie:

ugidfw add subject not uid root gid exec object ! gid wheel:999 type r mode arsw

Znaczenie regulki:
Uzytkownik nie bedacy rootem nie nalezacy do grupy exec, probujacy sie dostac do plikow, ktorye nie naleza do grup z przedzialu od 0:999. Dostaja typ r (binarki), mode uprawnienia arsw:

a administrative operations (przenoszenie, kopiowanie itd)
                                      r      read access                      (czytanie)
                                      s      access to file attributes     (dostep do atrybutow)
                                      w      write access                    (zapisywac)
                                      x      execute access                (wykonywac)
                                      n      none[/quote]
W skorcie. Jezeli nie jestes dodany do grupy exec (twoj odpowiednik grupy TPE) nie mozesz odpalac wlasnych programow itd. Pliki systemowe UNIX zaczynaja sie od 0 do 999, czyli userzy moga uzywac tylko programow zainstalowanych przez roota !

możliwość dokładnego zdefiniowane, co dany program może otworzyć, a także np ile pamięci i czasu procesora może użyć (limity zgodne z ulimit, ale lichsze, niż przez cgroup), to wszystko dostępne z poziomu tylko powyżej roota, bo nawet root nie może choćby zajrzeć do polityki grsec, jeśli nie zaloguje się do roli admina w gradm.[/quote]
Heh to pod FreeBSD jest dostepne i nie wymaga ani Grsec ani Pax'a.

Za pomoca chflags admina w jailu mozesz tak ograniczyc, ze nie bedzie mogl nawet zmieniac podstawowych atrybutow na plikach z nalozonym kernsecure na poziomie 3. A jakby sie ktos wlamal to pozostaje mu popatrzec i wyjsc.

Kod:

ugidfw add subject gid users object gid wheel type d mode sx

Trzymam userow zawsze w grupie users. Kazdy dodany do tej grupy musi przestrzegac roles mac.
Znaczenie regulki:
Uzytkownicy nalezacy do grupy users probujacy sie dostac do folderow nalezacych do grupy wheel dostaja uprawnienia sx. A efekt jest taki:

Kod:

bryn1u@Proton.edu.pl:[~]:$> ls /
ls: /: Permission denied
bryn1u@Proton.edu.pl:[~]:$> ls /etc
ls: /etc: Permission denied
bryn1u@Proton.edu.pl:[~]:$> ls /boot
ls: /boot: Permission denied
bryn1u@Proton.edu.pl:[~]:$> ls /root
ls: /root: Permission denied
bryn1u@Proton.edu.pl:[~]:$> ls /etc/ssh
ls: /etc/ssh: Permission denied

w poprzedniej regulce type r oznaczal binarki a tutaj type d oznacza foldery

The rule will apply only to objects matching
                                all the specified conditions.  A leading not
                                means that the object should not match all the
                                remaining conditions.  A condition may be
                                prefixed by ! to indicate that particular
                                condition must not match the object.  Objects
                                can be required to be owned by the user and/or
                                group specified by uid and/or gid.  A range of
                                uids/gids can be specified, separated by a
                                colon.  The object can be required to be in a
                                particular filesystem by specifying the
                                filesystem using filesys.  Note, if the
                                filesystem is unmounted and remounted, then
                                the rule may need to be reapplied to ensure
                                the correct filesystem id is used.  The object
                                can be required to have the suid or sgid bits
                                set.  The owner of the object can be required
                                to match the uid_of_subject or the
                                gid_of_subject attempting the operation.  The
                                type of the object can be restricted to a
                                subset of the following types.

                                      a      any file type
                                      r      a regular file
                                      d      a directory
                                      b      a block special device
                                      c      a character special device
                                      l      a symbolic link
                                      s      a unix domain socket
                                      p      a named pipe (FIFO)

                   mode arswxn  Similar to chmod(1), each character represents
                                an access mode.  If the rule applies, the
                                specified access permissions are enforced for
                                the object.  When a character is specified in
                                the rule, the rule will allow for the
                                operation.  Conversely, not including it will
                                cause the operation to be denied.  The
                                definitions of each character are as follows:

                                      a      administrative operations
                                      r      read access
                                      s      access to file attributes
                                      w      write access
                                      x      execute access
                                      n      none

           remove rulenum
                   Disable and remove the rule with the specified rule number.

SEE ALSO
     mac_bsdextended(4), mac(9)

HISTORY
     The ugidfw utility first appeared in. [b]FreeBSD 5.0[/b][/quote]
FreeBSD 5.0 - jakis 2003 rok. Takie rozwiazanie jest natywnie od 12 lat !

Zrob to pod linuxem dla grupy nie usera na /etc/passwd

Kod:

bryn1u@Proton.edu.pl:[~]:$> ls -lo /etc/passwd
ls: /etc/passwd: Permission denied
bryn1u@Proton.edu.pl:[~]:$> cat /etc/passwd
cat: /etc/passwd: Permission denied
bryn1u@Proton.edu.pl:[~]:$> cat /etc/passwd | wc -l
cat: /etc/passwd: Permission denied
       0

Role:

Kod:

subject gid users object gid hide type a mode n

A tu jest efekt z debiana:

Kod:

root@ns321124:/# chmod o-r /etc/passwd
root@ns321124:/# su - test
I have no name!@ns321124:~$

I pamietaj, ze ja nigdy nie krytykowalem Pax'a/Grse bo dla mnie jest to najlepsza rzecz jaka spotkala linuxa. Dziwi mnie do tej pory, ze tak wspaniale rozwiazanie nie jest zaimplementowane w ani jednej dystrybucji linuxa, a jest ich tyle, ze sie ich nie da zliczyc.

Ostatnio edytowany przez bryn1u (2015-03-27 08:35:12)

---

E-Booki: FreeBSD, OpenBSD, Linux, Hacking, PHP, Catia, Perl_CGI, Mysql ...
[b]http://unix-ebooki.neth.pl/[/b]

Offline