înregistrare Logare
Puncte:0
Jananath Banuka avatar Server

Cum să eliminați permisiunile de scriere în lume în Linux

drapel cn
Jananath Banuka

Am primit acest raport de vulnerabilitate unde scrie I Eliminați permisiunile de scriere în lume.

Așa că am încercat să găsesc fișierele cu scrie permisiuni folosind comanda de mai jos:

găsi / -perm -0002 -tip f

Și rezultatul meu arată ca mai jos (am eliminat cea mai mare parte a ieșirii, dar toate aceste ieșiri sunt pentru cele două directoare /proc și /sys

...
/proc/235399/attr/fscreate
/proc/235399/attr/keycreate
/proc/235399/attr/sockcreate
/proc/235399/timerslack_ns
/sys/fs/cgroup/memory/user.slice/user-904374614.slice/user@904374614.service/cgroup.event_control
/sys/fs/cgroup/memory/user.slice/user-904374614.slice/user-runtime-dir@904374614.service/cgroup.event_control
/sys/fs/cgroup/memory/user.slice/user-904374614.slice/cgroup.event_control
/sys/fs/cgroup/memory/user.slice/user-904374614.slice/session-5.scope/cgroup.event_control
/sys/fs/cgroup/memory/user.slice/cgroup.event_control
/sys/fs/cgroup/memory/cgroup.event_control
/sys/fs/cgroup/memory/init.scope/cgroup.event_control
/sys/fs/cgroup/memory/system.slice/rngd.service/cgroup.event_control
/sys/fs/cgroup/memory/system.slice/irqbalance.service/cgroup.event_control
/sys/fs/cgroup/memory/system.slice/systemd-update-utmp.service/cgroup.event_control
/sys/fs/cgroup/memory/system.slice/system-systemd\x2dfsck.slice/systemd-fsck@dev-disk-by\x2duuid-B055\x2dF6D2.service/cgroup.event_control
/sys/fs/cgroup/memory/system.slice/system-systemd\x2dfsck.slice/cgroup.event_control
/sys/fs/cgroup/memory/system.slice/var-log.mount/cgroup.event_control
/sys/fs/cgroup/memory/system.slice/systemd-udevd-control.socket/cgroup.event_control
/sys/fs/cgroup/memory/system.slice/lvm2-monitor.service/cgroup.event_control
...

Întrebarea mea este dacă este o practică bună să eliminați inscriptibil permisiuni pentru aceste fișiere? Nu va afecta vreun program care rulează să eșueze?

47
0 + 0
Puncte:0
avatar Server
drapel in
Gerald Schneider

Este complet inutil să eliminați acele permisiuni. /proc și /sys nu sunt sisteme de fișiere permanente, după următoarea repornire, acestea vor fi din nou la fel.

0 + 0
Jananath Banuka avatar
drapel cn
Jananath Banuka
Există căi pe care ar trebui să le Evit ca aceasta?
0
Răspunde
drapel in
Gerald Schneider
rulați `mount`. Practic, tot ceea ce nu este un sistem de fișiere *real* pentru stocare.
0
Răspunde
Jananath Banuka avatar
drapel cn
Jananath Banuka
Deci orice iese în `mount` poate fi neglijat?
0
Răspunde
Puncte:0
avatar Server
drapel fr
Tomek

Acestea sunt fișiere pe pseudosisteme de fișiere ale nucleului (procfs și sysfs) care controlează diferite comportamente ale nucleului.

Comanda de utilizat este chmod o-w <nume fișier> dar mă îndoiesc că ar funcționa pentru fișierele menționate mai sus. Și chiar dacă a funcționat - în acest caz specific poate afecta negativ stabilitatea sistemului.

0 + 0
Jananath Banuka avatar
drapel cn
Jananath Banuka
Mulțumesc pentru explicație. Ați putea să-mi spuneți ce fel de alte căi ar trebui să EVIT astfel?
0
Răspunde
drapel fr
Tomek
`/dev` cu siguranță. Dar, în majoritatea cazurilor, distribuțiile Linux sunt configurate corect în acest sens. Ar trebui să vă preocupați doar de permisiunile propriilor fișiere, care în 99% din cazuri ar trebui să fie în directorul dvs. de acasă.
0
Răspunde
Jananath Banuka avatar
drapel cn
Jananath Banuka
Am folosit comanda `find / -perm -o+w` și acum primesc o accesare diferită și pentru directoarele `/opt` și `/tmp`. Par a fi linkuri simbolice... Ar trebui să-mi fac și eu griji pentru acestea?
0
Răspunde
drapel fr
Tomek
Nu ai spus ce distro aveți, eu sunt pe una bazată pe `rpm` și vă permite să verificați fișierele instalate rulând `rpm -Va` (ca root). Orice cu `M` în a doua coloană indică modul fișier (permisiuni) a fost modificat de la instalare. Nu pot spune sigur despre `/opt`, pentru `/tmp` - depinde. Deține fișiere temporare (și uneori prize și conducte) și, în unele cazuri, acestea trebuie să poată fi scrise în întreaga lume.Dar fișierele temporare obișnuite deținute de dvs. și care pot fi scrise în întreaga lume sunt puțin suspecte și pot necesita o privire mai atentă.
0
Răspunde
Jananath Banuka avatar
drapel cn
Jananath Banuka
Am următoarele: `NAME="Red Hat Enterprise Linux" VERSION="8.5 (Ootpa)" ID="rhel" ID_LIKE="fedora" VERSION_ID="8.5" PLATFORM_ID="platform:el8" PRETTY_NAME="Red Hat Enterprise Linux 8.5 (Ootpa)"`
0
Răspunde
drapel fr
Tomek
Apoi puteți folosi `rpm` pentru a verifica dacă există fișiere modificate. Dar vă rugăm să luați-o cu un pic de sare, unele fișiere SE vor schimba pe măsură ce vă configurați sistemul pentru a se potrivi nevoilor dvs.
0
Răspunde
drapel romania
SEF 777
întrebarea această in alte limbi:

Postează un răspuns

Majoritatea oamenilor nu înțeleg că a pune multe întrebări deblochează învățarea și îmbunătățește legătura interpersonală. În studiile lui Alison, de exemplu, deși oamenii își puteau aminti cu exactitate câte întrebări au fost puse în conversațiile lor, ei nu au intuit legătura dintre întrebări și apreciere. În patru studii, în care participanții au fost implicați în conversații ei înșiși sau au citit transcrieri ale conversațiilor altora, oamenii au avut tendința să nu realizeze că întrebarea ar influența – sau ar fi influențat – nivelul de prietenie dintre conversatori.