Yürütmeden önce komut ikili dosyalarının doğrulanması

Bir bash betiğinden gerçekte ne yürüttüğünüzü kontrol etmek için herhangi bir yöntem var mı?

(Örneğin: sizin bash komut çeşitli komutlar çağırıyor Say tar, mail, scp, mysqldump) ile emin olmak isteyen targerçek, gerçek olan tarile belirlenebilir olan rootdosya ve üst dizin sahibi ve yazma izinleri olan tek varlık kullanıcıya ve sahibi /tmp/surprise/tarolan www-dataveya olmayan bazıları apache2.

Tabii biliyorum PATHve çevre, bunun çalışan bir bash betiğinden ek olarak kontrol edilip edilemeyeceğini merak ediyorum ve eğer öyleyse, tam olarak nasıl?

Örnek: (sözde kod)

tarfile=$(which tar)
isroot=$(ls -l "$tarfile") | grep "root root"
#and so on...

Yürüteceğiniz ikili dosyaları doğrulamak yerine, başlangıçtan itibaren doğru ikili dosyaları yürütebilirsiniz. Eğer koşmayacağınızdan emin olmak istiyorsanız , betiğinizde /tmp/surprise/tarçalıştırın /usr/bin/tar. Alternatif olarak, $PATHherhangi bir şey çalıştırmadan önce bir aklı başında değere ayarlayın .

Dosyalara /usr/bin/ve diğer sistem dizinlerine güvenmiyorsanız , güven kazanmanın bir yolu yoktur. Örneğinizde, sahibe sahibini kontrol ediyorsunuz ls, ancak güvenebileceğinizi biliyor musunuz ls? Aynı argüman md5sumve gibi diğer çözümler için de geçerlidir strace.

Sistem bütünlüğüne yüksek düzeyde güven duyulması gerektiğinde, IMA gibi özel çözümler kullanılır. Ancak bu bir senaryodan kullanabileceğiniz bir şey değildir: tüm sistem, değiştirilemez dosyalar kavramı ile özel bir şekilde kurulmalıdır.

Bir davetsiz misafir sisteminize erişebiliyorsa ve sisteminizi değiştirebiliyorsa $PATH(bu /tmphiçbir koşulda yer almamalıdır ), o zaman yürütülebilir dosyaların sahiplikleri hakkında endişelenmeye başlamak için çok geç.

Bunun yerine bir saldırı ile nasıl başa çıkılacağını okumalısınız .

İzinsiz girişten kaçınmaya konsantre olmak daha iyidir.

Bu tür şeylerin önemli olduğu bir sisteminiz varsa, kamuya açık olması gereken bölümlerini özel olması gereken bölümlerden izole etmek ve iletişim modlarını denetlemek iyi bir fikir olabilir. bunlar arasında.

md5sumBir dosyayı doğrulayarak bir dereceye kadar mümkündür . Bu nedenle, aptpaket yönetimini kullanan sistemlerde - özel durumumda, Ubuntu 16.04 - kurulum sırasında /var/lib/dpkg/info/tar.md5sumsgelen tüm dosyaların md5 toplamlarını depolayan dosya var tar. Böylece, çıktıların md5sum /bin/taro dosyadakilerle eşleşip eşleşmediğini kontrol eden basit bir if-ifadesi yazabilirsiniz .

Tabii ki dosyanın kendisi üzerinde oynanmış olmadığını varsayar. Bu tabii ki sadece saldırgan root / sudo erişimine sahip olduğunda gerçekleşebilir, bu noktada tüm bahisler kapalıdır.

Evet, bir yöntem var: yerleşik type. whichYalnızca PATH'nizde arama yapan komutun aksine type, komut adının gerçekten ayrılmış bir anahtar kelime, yerleşik, takma ad, işlev veya disk dosyası olup olmadığını söyleyecektir.

$ type -t foobar || echo "Not found"
Not found

$ type -t echo
builtin

$ enable -n echo; type -t echo; type -p echo
file
/usr/bin/echo

$ echo() { printf "(echoing) %s\n" "$*"; }; type -t echo
function

$ alias echo="/bin/echo 'I say: ' "; type -t echo
alias

Ek type -aolarak emriniz için tüm adayları verecektir (ilk seçimden son tercihe kadar):

$ type -a echo
echo is aliased to `/bin/echo 'I say: ' '
echo is a function
echo () 
{ 
    printf "(echoing) %s\n" "$*"
}
echo is a shell builtin
echo is /usr/local/bin/echo
echo is /bin/echo

Son olarak, yalnızca diskinizdeki ikili dosyalar hakkında endişeleriniz varsa, PATH'nizdeki type -Patüm ikili dosyaları almak için kullanabilirsiniz (yukarıdakiyle aynı sırada):

$ type -Pa tar
/home/me/bin/tar                <= oh oh, is this normal?
/bin/tar

Bununla typebirlikte, sonunda size tam olarak hangi komutun çağrılacağını söylemeyecektir. Örneğin, tarbir ikili (ör. alias tar="/tmp/tar") Çağıran bir takma adsa, typebunun bir alias.

Kullanarak bir komut dosyası tarafından tam olarak hangi komutların yürütüldüğünü kontrol edebilirsiniz strace. Örneğin:

strace -f -e execve ./script.sh

Aşağıdaki komut dosyasıyla:

#!/bin/bash
touch testfile.txt
echo "Hello" >> testfile.txt
cat testfile.txt
rm testfile.txt

strace-e execveparametresiyle kullanıldığında yürütülen komutların tam yolunu söyleyecektir :

execve("./script.sh", ["./script.sh"], [/* 69 vars */]) = 0 
Process 8524 attached
[pid  8524] execve("/usr/bin/touch", ["touch", "testfile.txt"], [/* 68 vars */]) = 0 
[pid  8524] +++ exited with 0 +++
--- SIGCHLD {si_signo=SIGCHLD, si_code=CLD_EXITED, si_pid=8524, si_status=0, si_utime=0, si_stime=0} --- 
Process 8525 attached [pid > 8525] execve("/bin/cat", ["cat", "testfile.txt"], [/* 68 vars */]) = 0
Hello [pid  8525] +++ exited with 0 +++
--- SIGCHLD {si_signo=SIGCHLD, si_code=CLD_EXITED, si_pid=8525, si_status=0, si_utime=0, si_stime=0} --- 
Process 8526 attached [pid > 8526] execve("/bin/rm", ["rm", "testfile.txt"], [/* 68 vars */]) = 0
[pid  8526] +++ exited with 0 +++
--- SIGCHLD {si_signo=SIGCHLD, si_code=CLD_EXITED, si_pid=8526, si_status=0, si_utime=0, si_stime=0} ---
+++ exited with 0 +++

Parametreler (strace man'dan):

-f: Çatal (2), vfork (2) ve klon (2) sistem çağrılarının bir sonucu olarak şu anda izlenen süreçler tarafından oluşturulan alt süreçleri izleyin. Not -p PID -fo çok kanallı ise sadece thread_id = PID ile iplik değil, Proses PID tüm konuları ekleyecektir.

-e trace=file: Bir dosya adını bağımsız değişken olarak alan tüm sistem çağrılarını izleyin. Bunu -e trace=open,stat,chmod,unlink,..., sürecin hangi dosyalara başvurduğunu görmek için yararlı olan bir kısaltma olarak düşünebilirsiniz . Ayrıca, kısaltmayı kullanmak yanlışlıkla lstat gibi bir çağrıyı listeye dahil etmeyi unutmamanızı sağlar.

Linux işletim sistemi dosyaları temel alır ve linux üzerinde yürütülen birçok komut büyük olasılıkla makinenizde bulunan dosyalardaki bazı değişiklikleri çözecektir. Bu yüzden belki de probleminiz için en iyi çözümdür. Yürütülmeden önce komutlarınızı dosya sistemindeki herhangi bir değişiklik açısından test edebilirsiniz.

Komutunuzu parçalara ayıran 'strace' komutu var ...

Eğer gerçekten derinlere inmek istiyorsanız, çalıştırılacak scriptler için dekomperi kontrol etmek istersiniz. Başka bir deyişle, bu komutun derleyici yorumunu kontrol etmelisiniz. Orada bash için objdump -d. Linux bin komut dosyaları esas olarak Cprogramlama dili ile oluşturulur, bu nedenle iyi bir Ckod çözücü kullanın .