Bir işlemin dosya yazmasını engelleme

Linux'ta bir komutu yazmak için herhangi bir dosya oluşturamayacak veya açamayacak şekilde çalıştırmak istiyorum. Dosyaları normal olarak okuyabiliyor olmalıdır (bu nedenle boş bir chroot bir seçenek değildir) ve hala açık olan dosyalara (özellikle stdout) yazabilmelidir.

Belirli dizinlere (geçerli dizine) dosya yazmanın hala mümkün olduğu durumlarda bonus puanları.

İşlem yerel, yani tüm sistem için AppArmor veya SELinux gibi şeyleri veya kök ayrıcalıkları yapılandırmayı içermeyen bir çözüm arıyorum. Yine de çekirdek modüllerini kurmayı içerebilir.

Yeteneklere bakıyordum ve dosyalar oluşturmak için bir yetenek olsaydı, bunlar güzel ve kolay olurdu. ulimit, bu kullanım durumunu kapsıyorsa uygun olabilecek başka bir yaklaşımdır.

Boş bir chroot oluşturmaya, ardından ana dosya sistemini chroot içinde salt okunur olarak bağlamaya ne dersiniz?

Büyük olasılıkla salt okunur bir bağlama parçası oluşturmak için böyle bir şey olmalıdır:

mount --bind /foo/ /path/to/chroot/
mount -o remount,ro /path/to/chroot/

Hapishanenin yazma erişimine sahip olmasını istediğiniz diğer dizinleri de bağlayabilirsiniz. Özel dizinleri (/ dev /, / proc /, / sys /) ciltlemeniz gerektiğinde dikkatli olun, olduğu gibi monte etmek güvenli olmayabilir.

Görünüşe göre bu iş için doğru araç Bastian Blank tarafından fseccompyapılan sync-ignoringf koduna dayanıyor , ben tüm çocuklarının yazmak için bir dosya açamamasına neden olan bu nispeten küçük bir dosya buldum:

/*
 * Copyright (C) 2013 Joachim Breitner <mail@joachim-breitner.de>
 *
 * Based on code Copyright (C) 2013 Bastian Blank <waldi@debian.org>
 *
 * Redistribution and use in source and binary forms, with or without
 * modification, are permitted provided that the following conditions are met:
 *
 * 1. Redistributions of source code must retain the above copyright notice, this
 *    list of conditions and the following disclaimer.
 * 2. Redistributions in binary form must reproduce the above copyright notice,
 *    this list of conditions and the following disclaimer in the documentation
 *    and/or other materials provided with the distribution.
 *
 * THIS SOFTWARE IS PROVIDED BY THE COPYRIGHT HOLDERS AND CONTRIBUTORS "AS IS" AND
 * ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE IMPLIED
 * WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE ARE
 * DISCLAIMED. IN NO EVENT SHALL THE COPYRIGHT OWNER OR CONTRIBUTORS BE LIABLE FOR
 * ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES
 * (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES;
 * LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION) HOWEVER CAUSED AND
 * ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT LIABILITY, OR TORT
 * (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT OF THE USE OF THIS
 * SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF SUCH DAMAGE.
 */

#define _GNU_SOURCE 1
#include <errno.h>
#include <fcntl.h>
#include <seccomp.h>
#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <unistd.h>

#define filter_rule_add(action, syscall, count, ...) \
  if (seccomp_rule_add(filter, action, syscall, count, ##__VA_ARGS__)) abort();

static int filter_init(void)
{
  scmp_filter_ctx filter;

  if (!(filter = seccomp_init(SCMP_ACT_ALLOW))) abort();
  if (seccomp_attr_set(filter, SCMP_FLTATR_CTL_NNP, 1)) abort();
  filter_rule_add(SCMP_ACT_ERRNO(EACCES), SCMP_SYS(open), 1, SCMP_A1(SCMP_CMP_MASKED_EQ, O_WRONLY, O_WRONLY));
  filter_rule_add(SCMP_ACT_ERRNO(EACCES), SCMP_SYS(open), 1, SCMP_A1(SCMP_CMP_MASKED_EQ, O_RDWR, O_RDWR));
  return seccomp_load(filter);
}

int main(__attribute__((unused)) int argc, char *argv[])
{
  if (argc <= 1)
  {
    fprintf(stderr, "usage: %s COMMAND [ARG]...\n", argv[0]);
    return 2;
  }

  if (filter_init())
  {
    fprintf(stderr, "%s: can't initialize seccomp filter\n", argv[0]);
    return 1;
  }

  execvp(argv[1], &argv[1]);

  if (errno == ENOENT)
  {
    fprintf(stderr, "%s: command not found: %s\n", argv[0], argv[1]);
    return 127;
  }

  fprintf(stderr, "%s: failed to execute: %s: %s\n", argv[0], argv[1], strerror(errno));
  return 1;
}

Burada dosyaları okumanın hala mümkün olduğunu görebilirsiniz:

[jojo@kirk:1] Wed, der 06.03.2013 um 12:58 Uhr Keep Smiling :-)
> ls test
ls: cannot access test: No such file or directory
> echo foo > test
bash: test: Permission denied
> ls test
ls: cannot access test: No such file or directory
> touch test
touch: cannot touch 'test': Permission denied
> head -n 1 no-writes.c # reading still works
/*

Dosyaların silinmesini, taşınmasını veya açılmanın yanı sıra diğer dosya işlemlerini engellemez, ancak bu eklenebilir.

C kodu yazmak zorunda kalmadan bunu sağlayan bir araç syscall_limiter .

open(…)İşlev için bir yedek yazmayı ve LD_PRELOAD kullanarak yüklemeyi düşünür müsünüz?

En basit çözüm muhtemelen ilgili dosya sistemleri salt okunur olarak monte edilmiş yeni bir dosya sistemi ad alanı oluşturan ve daha sonra kısıtlamaya çalıştığınız programı yürüten bir sarmalayıcı programıdır.

Bu nedir systemdkullandığınızda yapar ReadOnlyDirectories=salt okunur bir hizmet için belirli dizinleri işaretlemek için. Ayrıca, yeni bir ad alanı oluşturma işini yapabilen bir unsharekomut da vardır util-linux, böylece şöyle bir şey yapabilirsiniz:

unshare -m <wrapper>

nerede wrapperasıl hedefin programına başlamadan önce gerektiği gibi sonra sadece yeniden bağlama dosya sistemleri etmesi gerekir.

Tek sorun, rootyeni ad alanını oluşturmak zorunda olmanız ...

Bir krokette çalıştırabilir, özel versiyonlarını monte edebilirsiniz /tmp ve içine. Belki de systemd yardımcıdır ve özellikle de istediğiniz gibi görünen systemd-nspawn (1) .

Sanal makine, komut dosyasının ana bilgisayar sistemini etkilemeden herhangi bir yere yazmasını ve aslında nerede yazmaya çalıştığını kontrol etmesini mümkün kılacaktır, ki bu hedefler gibi görünüyor.

Örneğin, Arch Linux ile kolayca başlatabilirsiniz.

kvm -boot d -m 512 -cdrom archlinux-*.iso

Başlangıç ​​kurulumunu root olarak yapmak gerçekten en kolay yoldur. Spesifik olarak, salt okunur bir bağlama aparatına bir kroot , en az dirençli yoldur.

Kök olmasına gerek kalmadan salt okunur görünüm oluşturmak yerine bindfs komutunu kullanabilirsiniz mount --bind. Ancak, chroot gibi diğer dosyalara erişimi önlemek için root olarak bir şeyler yapmanız gerekir.

Başka bir yaklaşım, LD_PRELOADdosya açmaya bağlanan ve yazmaya izin vermeyen bir kütüphanedir. Bu özel bir ayrıcalık gerektirmez. Güvenlik açısından, bu atlanabilir, ancak keyfi yerel kod değil, yalnızca belirli bir özellik içermeniz gereken kullanım durumunuz için uygundur. Ancak bunun için mevcut bir kütüphane bilmiyorum. LD_PRELOADprogramı mount --bindveya ile oluşturulan salt okunur görünüme sınırlamak için de kullanılabilir bindfs; yine var olan bir kütüphaneyi bilmiyorum.

Debian ve türevlerinde, bir schroot ortamı ayarlayabilirsiniz . Schroot setuid köküdür ve kök olarak yapılandırılması gerekir, ancak herhangi bir yetkili kullanıcı tarafından yürütülebilir.

Kökten herhangi bir işbirliği gerektirmeyen bir yöntem, işlemi sanal bir makinede çalıştırmaktır. KVM veya VirtualBox veya kullanıcı modu Linux'u ayarlayabilirsiniz . Biraz ağırdır ve fazladan bellek tüketimi anlamına gelir, ancak ham sembolik hesaplama hızını önemli ölçüde etkilememelidir.

Nasıl bir süreç kök olmadan "hapse"? ilham verebilir.

En azından sürecin dosyaları yazmasını önlemenin bir yolu (ancak onları oluşturmamak) önce çağırmaktır ulimit -f 0. Bu, bir dosyaya yazmaya çalıştığında işlemi durduracaktır, ancak boş dosyalar oluşturmak hala mümkündür.