Çatal bombanın küresel olarak örtüşmesi onun yürütülmesini engeller mi?

Eğer küresel olarak

alias ':(){ :|:& };:'='echo fork bomb averted'

Bash çatal bombalarının infaz edilmesinden kaçınmak için etkili bir güvenlik stratejisi mi olurdu yoksa bunu yürütmenin bir yolu var mı?

Ben soru nakit para için varsayalım: başka bir şey için takma olduğunda bir komut yürütmek için bir yolu var mı?

İki , hayır, üç , ..., başlıca engeller arasında buna şunlardır:

1. Bir takma ad için geçerli bir ad değil. Bash'in çevrimiçi kılavuzu :

   Karakterler ... ve yukarıda listelenen kabuk metakarakterlerinden veya tırnak işareti karakterlerinden herhangi biri bir takma adda görünmeyebilir.

   (, ) , &, |Ve boşluk Bash 4.4 içinde bulunmaktadır.

2. Bu ip, mermiye çatal bomba yazmanın tek yolu değil, sadece meşhur olduğu için meşhur. Örneğin, :gerçekte harflerden oluşan bir şey yerine işlevi çağırmaya gerek yoktur .

3. Diğer adı ayarlayabilirseniz, kullanıcı diğer adı ayarlayabilir, komut satırındaki diğer addan kaçarak onu atlatabilir veya muhtemelen bir komut dosyasında işlevi çalıştırarak diğer adları tamamen devre dışı bırakabilir (Bash, etkileşimli olmayan kabuklarda diğer adları genişletmez) .

4. Kabuk bir çatal bombanın tüm versiyonlarını durduracak kadar kısıtlanmış olsa bile, genel amaçlı bir sistem alt süreçleri geri alabilecek ve çatabilecek diğer programlanabilir yardımcı programlara sahip olacaktır. Perl veya C derleyiciniz var mı? Yeterince kolay. Awk bile bunu yapabilirdi. Yüklü olmasanız bile, kullanıcının derlenmiş ikili dosyaları sistem dışından getirmesini veya sistemin /bin/shgeri kalanının çalışması için tamamen işlevsel bir kabuk olması gereken çalışmasını da durdurmanız gerekir .

Hemen kullanım ulimit -u(yani RLIMIT_NPROC) veya eşdeğer bir kullanıcı başlatmak süreç sayısını kısıtlamak için. Çoğu Linux sisteminde pam_limits, kullanıcı tarafından seçilen herhangi bir komut başlatılmadan önce işlem sayısı sınırını ayarlayabilen vardır.

Böyle bir şey /etc/security/limits.conf, tüm kullanıcılara 50 işlemden oluşan sert bir sınır koyacaktır:

*        hard    nproc           50

_{(Stephen Kitt daha önce 1. maddeden bahsetti , Jeff Schaller 2 ve 3.'den bahsetti .)}

Hayır. Çatal bomba yazmanın çok fazla yolu var.

Kötü çatal bomba yazarı farklı bir işlev adıyla tekrar deneyecek. Ya da çatal bombası başarılı olana kadar diğer değişiklikler.

Yanlışlıkla çatal-bomba yazarı ilk etapta kanonik çatal-bomba üretmez.

Kendinizi yanlışlıkla çatal-bomba yazar olmak oldukça kolaydır. Örneğin, özyinelemeyi makeharici, denetlenmeyen cd, -jseçenek ve var olmayan alt dizinlerle birleştirerek kullanabilirsiniz - gerçekte bir kez karşılaştığım bir örnek.

Tüm olasılıklara karşı güvende olamazsınız ve kesinlikle kararlı bir saldırgana karşı güvende olamazsınız. Tek elde edeceğiniz sisteminizin karmaşıklığını artırmaktır.

Çatal bombayı takma adlandıramazsınız , çünkü geçerli bir takma ad adı değildir :

$ alias ':(){ :|:& };:'='echo fork bomb averted'
bash: alias: `:(){ :|:& };:': invalid alias name

'/', '$', '``,' = 'Karakterleri ve yukarıda listelenen kabuk metakarakterlerinden veya tırnak işareti karakterlerinden herhangi biri bir takma adda görünmeyebilir.

Bazı mermiler, takma adlar bildirildiklerinde değil, komutları yorumlarken kontrol etmez ve geçersiz adı atlar. Çatal bomba her zaman &geçerli bir takma adla eklenemez, bu nedenle kendinizi bu şekilde korumak mümkün değildir.

İki kere, hayır.

Çatal bomba yazmanın tek yolu bu değil.

Bir takma ad olduğunda "bir komut" yürütmenin birkaç yolu vardır:

command the-command
\the-command

Misal:

$ alias ls=not-really-ls
$ ls
-bash: not-really-ls: command not found
$ \ls
jeff.html  output.png
$ command ls
jeff.html  output.png