设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [14463] 2019-08-12_等保测评主机安全：CentOS访问控制 ...
返回列表 发新帖
查看: 2|回复: 0

[14463] 2019-08-12_等保测评主机安全：CentOS访问控制

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2019-08-12_等保测评主机安全：CentOS访问控制 等 保 测 评 主 机 安 全 ： C e n t O S 访 问 控 制 起 于 凡 而 非 于 凡   F r e e B u f   2 0 1 9 - 0 8 - 1 2 一 、 说 明 一 、 说 明 权 限 控 制 在 等 保 测 评 里 仅 仅 说 了 要 求 ， 但 是 怎 么 落 地 却 基 本 没 写 ， 怎 么 说 呢 ， 比 较 抽 象 。 权 限 控 制 在 等 保 测 评 里 仅 仅 说 了 要 求 ， 但 是 怎 么 落 地 却 基 本 没 写 ， 怎 么 说 呢 ， 比 较 抽 象 。 所 以 ， 我 觉 得 还 是 有 必 要 了 解 一 下 所 以 ， 我 觉 得 还 是 有 必 要 了 解 一 下 c e n t o s 系 统 大 概 有 什 么 方 法 可 以 实 现 对 用 户 的 权 限 控 制 ， 不 至 于 测 评 的 时 候 系 统 大 概 有 什 么 方 法 可 以 实 现 对 用 户 的 权 限 控 制 ， 不 至 于 测 评 的 时 候 完 全 不 知 道 怎 么 测 。 完 全 不 知 道 怎 么 测 。 这 里 我 把 我 现 在 知 道 的 关 于 权 限 控 制 的 方 法 都 列 举 出 来 ， 供 大 家 参 考 参 考 。 另 外 ， 我 使 用 的 是 c e n t o s 6 。 二 、 查 看 二 、 查 看 无 论 针 对 什 么 权 限 ， 以 下 三 个 文 件 至 少 需 要 查 看 的 ： 通 过 这 三 个 文 件 可 以 知 道 可 登 录 的 普 通 账 户 有 哪 些 ， 以 及 用 户 组 的 情 况 ， 毕 竟 要 判 断 用 户 的 权 限 ， 至 少 应 该 知 道 用 户 的 情 况 吧 。 2 . 1 .   p a s s w d 通 过 p a s s w d 文 件 ， 首 先 判 断 出 哪 些 是 普 通 用 户 、 系 统 用 户 和 超 级 用 户 （ r o o t ） 系 统 用 户 的 u i d 在 c e n t o s 6 中 是 大 于 0 小 于 5 0 0 的 ， 5 0 0 这 个 值 的 设 置 应 该 是 在 文 件 中 。   然 后 判 断 出 哪 些 用 户 不 能 登 录 ， 比 如 最 后 是 以 及 就 不 可 登 录 。 2 . 2 .   s h a d o w 通 过 s h a d o w 判 断 出 哪 些 用 户 已 经 被 不 登 录 了 。 2 . 2 . 1 .   锁 定 或 密 码 不 可 用 这 里 可 以 用 p a s s w d 命 令 进 行 判 断 ： 里 面 的 P S 意 思 就 是 密 码 已 设 置 。 然 后 s h a d o w 中 可 能 的 情 况 有 （ 每 一 段 的 第 一 句 是 s h a d o w 中 实 际 的 行 ， 第 二 句 是 用 p a s s w d   - S   u s e r n a m e   查 询 出 来 的 值 ） ： / e t c / p a s s w d / e t c / s h a d w o / e t c / g r o u p l o g i n . d e f s / s b i n / n o l o g i n / b i n / f a l s e [ r o o t @ c e n t o s 0 1   ~ ] #   p a s s w d   - S   c x c x   P S   2 0 1 9 - 0 3 - 2 6   0   9 9 9 9   7   9 9   ( 密 码 已 设 置 ， 使 用   S H A 5 1 2   加 密 。 ) g a m e s : * : 1 5 9 8 0 : 0 : 9 9 9 9 9 : 7 : : : g a m e s   L K   2 0 1 3 - 1 0 - 0 2   0   9 9 9 9 9   7   - 1   ( 更 改 当 前 使 用 的 认 证 方 案 。 ) c x : * : 1 7 9 7 0 : 0 : 9 9 9 9 9 : 7 : : :
上 面 除 了 最 后 一 段 也 就 是 空 密 码 是 可 以 登 录 外 ， 其 余 的 都 不 可 以 。 密 码 字 符 串 开 头 ， 也 就 是 第 一 个 的 右 边 加 上 或 字 符 串 ， 无 论 或 的 后 面 有 或 没 有 密 码 字 符 串 （ 这 里 没 有 ， 都 是 空 密 码 ） ， 都 代 表 被 锁 定 。 至 于 ， 也 是 不 能 登 录 ， 这 里 的 意 思 应 该 是 因 为 密 码 字 符 串 也 是 按 照 一 定 的 格 式 存 储 的 ， 比 如 告 诉 了 系 统 用 了 哪 种 加 密 算 法 。 这 样 系 统 才 知 道 当 你 输 入 密 码 后 ， 要 怎 么 对 你 输 入 的 字 符 串 进 行 加 密 ， 然 后 才 能 能 拿 来 和 s h a d o w 中 的 加 密 字 符 串 进 行 对 比 。 你 随 便 乱 填 的 话 ， 系 统 就 认 不 出 来 了 ， 也 没 法 进 行 对 比 然 后 让 你 登 录 了 。 比 如 你 随 便 在 密 码 字 符 串 那 输 入 一 些 字 符 串 ， 其 结 果 会 显 示 为 ： 2 . 2 . 2 .   密 码 已 经 过 期 且 已 过 宽 恕 期 如 果 设 置 了 密 码 最 长 使 用 时 间 ， 且 宽 恕 期 也 设 置 了 ， 那 么 当 密 码 过 期 ， 且 宽 恕 期 也 过 去 了 的 话 。 则 该 账 号 也 无 法 登 录 ， 只 有 等 具 有 权 限 的 用 户 比 如 r o o t 来 修 改 s h a d o w 文 件 了 。   注 意 ： 如 果 仅 仅 是 密 码 过 期 ， 则 该 账 号 仍 然 可 登 录 ， 只 要 登 录 的 时 候 修 改 密 码 即 可 。 虽 然 可 以 直 接 从 s h a d o w 文 件 中 进 行 判 断 ， 但 是 那 个 格 式 太 不 友 好 了 ， 可 以 用 c h a g e 命 令 ： 密 码 过 期 时 间 和 宽 恕 时 间 都 可 以 看 到 。 2 . 2 . 3 .   账 号 已 过 期 账 号 过 期 的 话 也 没 法 登 录 ， 也 可 以 直 接 从 s h a d o w 文 件 中 进 行 判 断 ， 但 还 是 用 c h a g e 命 令 看 比 较 好 ： c x   L K   2 0 1 9 - 0 3 - 1 5   0   9 9 9 9 9   7   - 1   ( 更 改 当 前 使 用 的 认 证 方 案 。 ) d b u s : ! ! : 1 7 9 6 6 : : : : : : d b u s   L K   2 0 1 9 - 0 3 - 1 1   0   9 9 9 9 9   7   - 1   ( 密 码 已 被 锁 定 。 ) c x : ! : 1 7 9 7 0 : 0 : 9 9 9 9 9 : 7 : : : c x   L K   2 0 1 9 - 0 3 - 1 5   0   9 9 9 9 9   7   - 1   ( 密 码 已 被 锁 定 。 ) c x : : 1 7 9 7 0 : 0 : 9 9 9 9 9 : 7 : : : c x   N P   2 0 1 9 - 0 3 - 1 5   0   9 9 9 9 9   7   - 1   ( 密 码 为 空 。 ) : ! ! ! ! ! ! 字 符 串 ( 更 改 当 前 使 用 的 认 证 方 案 。 ) ( 更 改 当 前 使 用 的 认 证 方 案 。 ) c x : d j f h j d h f s : 1 7 9 7 0 : 0 : 9 9 9 9 9 : 7 : : : c x   L K   2 0 1 9 - 0 3 - 1 5   0   9 9 9 9 9   7   - 1   ( 更 改 当 前 使 用 的 认 证 方 案 。 ) [ r o o t @ c e n t o s 0 1   ~ ] #   c h a g e   - l   c x L a s t   p a s s w o r d   c h a n g e                                         :   J u n   2 8 ,   2 0 1 9 P a s s w o r d   e x p i r e s                                         :   n e v e r P a s s w o r d   i n a c t i v e                                       :   n e v e r A c c o u n t   e x p i r e s                                           :   J a n   2 0 ,   1 1 7 6 1 1 9 1 M i n i m u m   n u m b e r   o f   d a y s   b e t w e e n   p a s s w o r d   c h a n g e             :   0 M a x i m u m   n u m b e r   o f   d a y s   b e t w e e n   p a s s w o r d   c h a n g e             :   9 9 9 9 9 N u m b e r   o f   d a y s   o f   w a r n i n g   b e f o r e   p a s s w o r d   e x p i r e s       :   7 [ r o o t @ c e n t o s 0 1   ~ ] #   c h a g e   - l   c x L a s t   p a s s w o r d   c h a n g e                                         :   J u n   2 8 ,   2 0 1 9 P a s s w o r d   e x p i r e s                                         :   n e v e r
其 中 的 就 是 账 号 过 期 时 间 ， 注 意 ， 这 个 和 密 码 过 期 后 又 过 了 宽 恕 期 后 不 能 登 录 ， 不 是 一 回 事 ， 虽 然 都 不 能 登 录 。 2 . 3 .   g r o u p 这 个 很 简 单 ， 唯 一 需 要 说 的 就 是 ， 最 后 一 个 的 右 边 ， 即 为 把 这 个 组 当 成 附 加 组 的 用 户 的 用 户 名 ， 可 以 有 很 多 个 ， 用 隔 开 。 所 以 的 意 思 就 是 c x 、 c v 用 户 的 附 加 组 中 有 c x 组 。 那 把 c x 组 当 成 基 本 组 的 用 户 是 哪 个 呢 ？ 这 里 一 般 默 认 来 说 就 是 和 c x 组 同 名 的 用 户 ， 但 是 用 户 的 基 本 组 是 可 以 改 的 ， 比 如 可 以 设 置 c x 的 基 本 组 是 c v 组 ， 而 实 际 上 从 g r o u p 文 件 中 并 不 能 确 认 用 户 的 基 本 组 到 底 是 哪 一 个 用 户 组 ， 因 为 这 文 件 里 没 有 这 样 的 信 息 。 所 以 最 确 切 的 方 法 是 看 p a s s w d 里 的 ： 这 里 c x 用 户 的 基 本 组 的 i d 是 5 0 0 ， 所 以 c x 用 户 的 基 本 组 也 是 c x 组 。 所 以 c x 组 是 c x 用 户 的 基 本 组 ， 也 同 时 是 c x 用 户 的 附 加 组 。 其 实 这 里 可 以 直 接 用 命 令 查 看 ： 这 里 就 表 明 了 ， c x 的 基 本 组 的 i d 是 5 0 0 ， 同 时 c x 的 所 在 的 组 （ 包 括 附 加 组 和 基 本 组 ） 有 i d 为 5 0 0 这 个 组 ， 因 为 附 加 组 和 基 本 组 是 同 一 个 组 ， 所 以 不 会 重 复 排 列 。 而 c v 用 户 ， 就 很 简 单 了 ： c v 的 基 本 组 是 c v 组 ， 附 加 组 是 c x 组 。 那 么 c v 的 基 本 组 c v 组 是 不 是 也 是 c v 的 附 加 组 呢 ？ 答 案 为 不 是 ， 因 为 在 g r o u p 文 件 里 最 后 一 个 的 右 边 ， 并 没 有 c v （ 用 户 名 ） 。 三 、 目 录 和 文 件 权 限 三 、 目 录 和 文 件 权 限 这 个 其 实 没 啥 好 说 的 ， 目 录 和 文 件 的 创 建 者 、 所 属 组 、 其 他 用 户 的 属 性 ， 代 表 某 用 户 是 否 具 有 读 、 写 、 执 行 权 限 。 所 以 通 过 对 目 录 和 文 件 进 行 设 置 ， 就 能 控 制 用 户 的 对 目 录 和 文 件 的 行 为 。 P a s s w o r d   e x p i r e s                                         :   n e v e r P a s s w o r d   i n a c t i v e                                       :   n e v e r A c c o u n t   e x p i r e s                                           :   J a n   2 0 ,   1 1 7 6 1 1 9 1 M i n i m u m   n u m b e r   o f   d a y s   b e t w e e n   p a s s w o r d   c h a n g e             :   0 M a x i m u m   n u m b e r   o f   d a y s   b e t w e e n   p a s s w o r d   c h a n g e             :   9 9 9 9 9 N u m b e r   o f   d a y s   o f   w a r n i n g   b e f o r e   p a s s w o r d   e x p i r e s       :   7 A c c o u n t   e x p i r e s c x : x : 5 0 0 : c x , c v c v : x : 5 0 1 : : , c x : x : 5 0 0 : c x , c v c x : x : 5 0 0 : 5 0 0 : c x : / h o m e / c x : / b i n / b a s h [ r o o t @ c e n t o s 0 1   ~ ] #   i d   c x u i d = 5 0 0 ( c x )   g i d = 5 0 0 ( c x )   组 = 5 0 0 ( c x ) [ r o o t @ c e n t o s 0 1   ~ ] #   i d   c v u i d = 5 0 1 ( c v )   g i d = 5 0 1 ( c v )   组 = 5 0 1 ( c v ) , 5 0 0 ( c x ) : r w x
比 如 o r a c l e 数 据 库 安 装 时 ， 你 用 哪 个 用 户 去 启 动 安 装 脚 本 ， o r a c l e 的 数 据 库 目 录 的 o w n e r 就 会 是 这 个 用 户 （ 但 r o o t 用 户 不 能 执 行 这 个 安 装 脚 本 ） 。 所 以 该 用 户 才 能 够 启 动 数 据 库 ， 然 后 对 数 据 库 文 件 进 行 读 和 写 。 当 然 这 里 并 不 是 直 接 用 c a t 等 命 令 读 或 者 其 他 命 令 进 行 写 ， 而 是 在 s q l p l u s 中 用 执 行 s q l 语 句 ， 但 本 质 上 ， 还 是 要 拥 有 读 写 权 限 才 可 以 的 。 3 . 1 .   文 件 文 件 如 果 对 文 件 具 有 权 限 ，   就 代 表 可 以 使 用 等 命 令 查 看 文 件 内 容 。 如 果 对 文 件 具 有 权 限 ， 就 代 表 可 以 使 用 等 命 令 修 改 文 件 内 容 ， 这 里 稍 微 注 意 下 ， 可 以 修 改 文 件 内 容 不 代 表 可 以 修 改 文 件 内 容 不 代 表 你 能 够 直 接 删 除 文 件 ， 因 为 这 需 要 具 有 上 级 目 录 的 权 限 你 能 够 直 接 删 除 文 件 ， 因 为 这 需 要 具 有 上 级 目 录 的 权 限 。 如 果 对 文 件 具 有 权 限 ， 就 代 表 可 以 执 行 该 文 件 ， 当 然 ， 这 需 要 这 个 文 件 是 可 执 行 文 件 比 如 脚 本 才 行 （ 对 于 目 录 执 行 权 限 也 具 有 意 义 ） 。 3 . 2 .   目 录 目 录 目 录 的 权 限 有 点 点 复 杂 ， 原 理 嘛 ， 大 家 去 网 上 搜 一 搜 “ l i n u x 目 录 的 x 权 限 ” 就 知 道 了 ， 网 上 说 得 非 常 详 细 ， 我 这 里 只 说 结 果 。 如 果 对 目 录 具 有 权 限 ， 看 上 去 应 该 是 可 以 使 用 命 令 查 看 目 录 下 文 件 的 信 息 （ 名 字 、 大 小 、 权 限 等 ） ， 但 实 际 上 如 果 只 具 有 读 权 限 ， 那 么 你 用 命 令 能 看 到 的 信 息 就 只 有 目 录 下 的 文 件 名 ， 目 录 下 文 件 的 其 余 信 息 看 不 到 。 你 必 须 同 时 具 有 权 限 ， 才 可 以 正 常 查 看 目 录 下 文 件 的 信 息 。 如 果 对 目 录 具 有 权 限 ， 看 上 去 你 就 可 以 用 等 命 令 操 作 目 录 下 的 文 件 ， 但 实 际 上 如 果 只 具 有 写 权 限 ， 那 么 你 用 是 删 除 不 了 目 录 下 的 文 件 的 ， 你 也 必 须 同 时 具 有 权 限 才 能 删 除 目 下 的 文 件 。 如 果 对 目 录 具 有 权 限 ， 你 就 可 以 用 命 令 进 入 目 录 ， 然 后 读 取 或 写 入 目 录 下 的 文 件 （ 如 果 你 对 该 文 件 具 有 相 应 的 权 限 的 话 ） 。 所 以 ， 对 于 目 录 的 权 限 和 权 限 几 乎 没 有 任 何 意 义 。 3 . 3 .   u m a s k 3 . 3 . 1 .   说 明 文 件 和 目 录 创 建 出 来 就 具 有 一 个 默 认 的 权 限 ， 通 过 u m a s k 就 可 以 设 置 默 认 的 权 限 到 底 是 多 少 ， 所 以 这 个 肯 定 也 算 是 访 问 控 制 的 一 种 。 首 先 ， 如 果 用 户 创 建 的 是 目 录 ， 则 默 认 所 有 权 限 都 开 放 ， 为 7 7 7 ， 也 就 是 ： ， 至 于 文 件 ， 则 是   。 然 后 u m a s k 的 作 用 就 是 从 默 认 权 限 里 拿 掉 一 些 权 限 ， 最 后 的 结 果 就 是 实 际 的 权 限 了 。 查 看 u m a s k 的 值 ： 第 一 位 0 和 网 上 说 和 S U I D ， S G I D 和 S B I T 这 三 特 殊 权 限 有 关 ， S U I D   对 应 4 ， S G I D 对 应 2 ， s t i c k y   粘 位 对 应 1 ， 不 过 我 还 没 实 验 过 ， 先 不 管 它 。   后 面 三 位 就 代 表 着 从 o w n e r 、 g r o u p 、 o t h e r 那 拿 掉 什 么 权 限 ： 读 r c a t 、 h e a d 、 t a i l 写 w v i m 执 行 x 读 r l s l s 执 行 x 写 w r m r m 执 行 x 执 行 x c d 纯 读 纯 写 r w x r w x r w x r w - r w - r w - [ r o o t @ c e n t o s 0 1   ~ ] #   u m a s k 0 0 2 2 新 建 文 件 ： 6 6 6 - 0 2 2 = 6 4 4 ；
注 意 ， 这 里 是 拿 掉 权 限 ， 而 不 是 直 接 做 减 法 这 里 是 拿 掉 权 限 ， 而 不 是 直 接 做 减 法 。   想 象 一 下 ， 如 果 u m a s k 的 值 是 0 1 1 1 （ 拿 掉 o w n e r 、 g r o u p 、 o t h e r 的 执 行 权 限 ） ， 那 么 对 于 文 件 而 言 其 实 没 有 拿 掉 任 何 权 限 。   因 为 文 件 默 认 为 6 6 6 ， 本 来 就 没 有 执 行 权 ， 所 以 执 行 u m a s k 后 还 是 6 6 6 ， 而 不 是 变 成 （ 执 行 + 阅 读 ） 3 . 3 . 2 .   配 置 文 件 而 u m a s k 主 要 应 该 在 和 文 件 中 进 行 配 置 ， 他 们 的 默 认 值 都 一 样 ： 如 果 u i d 大 于 1 9 9 ， 且 用 户 名 等 于 基 本 组 的 组 名 则 为 0 0 2 ， 否 则 就 是 0 2 2 ， 区 别 就 是 g r o u p 的 w 权 限 有 没 有 被 拿 走 。   在 每 次 登 录 的 时 执 行 ， 是 在 登 录 后 调 用 时 执 行 。 所 以 ， 一 般 来 说 ， 中 的 u m a s k 语 句 会 覆 盖 中 的 。   另 外 ， 如 果 你 用 的 不 是 ， 比 如 修 改 了 / e t c / p a s s w d 里 的 值 ， 让 用 户 使 用 ， 那 么 在 执 行 后 接 着 执 行 的 就 应 该 是 。 另 外 ， 在 里 有 这 么 一 段 ： 其 实 这 个 是 针 对 用 户 的 h o m e 目 录 的 ， 当 设 置 C R E A T E _ H O M E 为 y e s 的 时 候   ， 创 建 用 户 时 就 会 自 动 创 建 用 户 的 h o m e 目 录 ， 这 里 就 是 专 门 对 h o m e 目 录 设 置 的 u m a s k 。 四 、 进 程 权 限 四 、 进 程 权 限 4 . 1 .   说 明 说 明 进 程 启 动 后 ， 肯 定 是 被 某 个 用 户 所 启 动 的 ， 或 者 是 以 某 用 户 的 身 份 所 启 动 的 ， 那 么 进 程 所 具 有 的 权 限 （ 比 如 该 进 程 能 否 读 写 某 文 件 ） ， 也 是 由 这 个 用 户 决 定 的 。 网 上 资 料 如 下 （ 具 体 可 看 ： h t t p s : / / b l o g . c s d n . n e t / b l u e m i c k e y / a r t i c l e / d e t a i l s / 2 2 9 4 0 8 7 3 ） ：   新 建 目 录 ： 7 7 7 - 0 2 2 = 7 5 5 . 6 6 6 - 1 1 1 = 5 5 5 e t c / p r o f i l e e t c / b a s h r c i f   ( $ u i d   >   1 9 9   & &   " ` i d   - g n ` "   = =   " ` i d   - u n ` " )   t h e n         u m a s k   0 0 2 e l s e         u m a s k   0 2 2 e n d i f e t c / p r o f i l e e t c / b a s h r c b a s h   s h e l l e t c / b a s h r c e t c / p r o f i l e b a s h   s h e l l c s h   s h e l l e t c / p r o f i l e c s h . c s h r c / e t c / l o g i n . d e f s # T h e   p e r m i s s i o n   m a s k   i s   i n i t i a l i z e d   t o   t h i s   v a l u e .   I f   n o t   s p e c i f i e d , # t h e   p e r m i s s i o n   m a s k   w i l l   b e   i n i t i a l i z e d   t o   0 2 2 . U M A S K                       0 7 7
大 概 意 思 就 是 说 ， 调 用 进 程 时 进 程 会 涉 及 到 这 些 i d ， 而 进 程 是 否 能 够 对 文 件 和 目 录 进 行 操 作 ， 则 是 由 有 效 用 户 I d 、 有 效 组 I d 以 及 附 加 组 I d 去 判 断 的 。   正 常 情 况 下 ， 有 效 用 户 I d 、 有 效 组 I d 就 等 于 实 际 用 户 I d 和 实 际 组 I d 。 4 . 2 .   S U I D 、 、 S G I D 但 如 果 对 该 执 行 文 件 设 置 了 ， 又 如 果 该 用 户 和 该 执 行 文 件 的 o w n e r 都 具 有 这 个 执 行 文 件 的 x 权 限 ， 则 这 个 用 户 在 运 行 这 个 执 行 文 件 时 ， 产 生 的 进 程 进 程 的 有 效 用 户 有 效 用 户 I D 是 该 执 行 文 件 的 O w n e r   I d 。 而 类 似 的 还 有 ， 也 具 有 和 一 样 的 功 能 ， 不 过 是 针 对 可 执 行 文 件 的 （ G U I D 还 有 其 他 的 作 用 ， 这 里 就 不 说 了 ） 。 一 般 都 会 用 p a s s w d 命 令 来 进 行 说 明 ， p a s s w d 命 令 设 置 了 ， 如 下 （ r w s 中 的 s ） ： 故 而 其 他 非 r o o t 用 户 可 以 用 p a s s w d 命 令 修 改 自 己 的 密 码 ， 因 为 进 程 的 有 效 用 户 i d 变 成 了 r o o t 的 i d ， 所 以 才 能 修 改 s h a d o w 文 件 ： 但 是 ， 有 一 个 问 题 ， 网 上 没 怎 么 说 ， 既 然 非 r o o t 用 户 都 可 以 调 用 p a s s w d 命 令 去 修 改 s h a d o w 文 件 ， 为 啥 还 是 只 能 修 改 自 己 的 密 码 呢 ？ 其 他 用 户 的 密 码 为 啥 还 是 修 改 不 了 ？ 4 . 3 .   代 码 的 判 断 代 码 的 判 断 所 以 这 里 实 际 上 是 p a s s w d 内 部 进 行 了 判 断 ， 源 代 码 如 下 （ c 语 言 ） ： S U I D S G I D S U I D G r o u p   I d S U I D - r w s r - x r - x   1   r o o t   r o o t   4 7 0 3 2   J u l   1 6     2 0 1 5   / u s r / b i n / p a s s w d - r w - r - - - - -   1   r o o t   s h a d o w   1 2 9 2   A u g   2 5   1 6 : 5 6   / e t c / s h a d o w / *   O n l y   r o o t   g e t s   t o   s p e c i f y   a   u s e r   n a m e .   * /                 u s e r n a m e   =   N U L L ;                 i f   ( ( e x t r a A r g s   ! =   N U L L )   & &   ( e x t r a A r g s [ 0 ]   ! =   N U L L ) )   {                                 i f   ( g e t u i d ( )   ! =   0 )   {                                                 / *   T h e   i n v o k i n g   u s e r   w a s   n o t   r o o t .   * /                                                 a u d i t _ l o g _ a c c t _ m e s s a g e ( a u d i t _ f d ,     A U D I T _ U S E R _ C H A U T H T O K ,                                                                 N U L L ,   " p a s s w o r d   c h a n g e " ,   e x t r a A r g s [ 0 ] ,                                                                 g e t u i d ( ) ,   N U L L ,   N U L L ,   N U L L ,   0 ) ;                                                 f p r i n t f ( s t d e r r ,                                                                 _ ( " % s :   O n l y   r o o t   c a n   s p e c i f y   a   u s e r   n a m e . n " ) ,
意 思 很 简 单 ， 判 断 p a s s w d 后 是 否 带 有 参 数 ， 如 果 带 有 参 数 就 判 断 的 值 是 否 等 于 0 ， 不 等 于 0 它 就 不 是 r o o t 用 户 ， 不 是 r o o t 用 户 就 别 想 修 改 别 人 的 密 码 了 ， 该 干 嘛 干 嘛 去 … … 这 里 的 的 返 回 值 是 实 际 用 户 实 际 用 户 i d ， 所 以 非 r o o t 用 户 到 这 就 “ 原 形 毕 露 ” 了 。 相 对 应 的 ， 也 存 在 一 个 函 数 ， 它 的 返 回 值 就 是 有 效 用 户 有 效 用 户 i d 。 所 以 如 果 一 个 用 户 对 一 个 可 执 行 文 件 有 x 权 限 ， 不 代 表 就 万 事 大 吉 了 。 第 一 ： 你 可 以 运 行 这 个 可 执 行 文 件 ， 但 是 这 个 进 程 可 能 会 涉 及 到 的 对 其 他 文 件 的 操 作 （ 读 、 写 、 执 行 等 ） 不 一 定 具 备 足 够 的 权 限 。 第 二 ：   可 能 在 代 码 里 又 对 你 进 行 了 限 制 ， 比 如 i p t a b l e s 这 个 文 件 o t h e r 拥 有 x 权 限 ， 但 是 一 个 非 r o o t 用 户 传 入 s t a t u s 参 数 想 查 看 i p t a b l e s 的 状 态 时 ， 却 不 会 有 反 应 。 那 是 因 为 i p t a b l e s 在 一 开 头 就 进 行 了 判 断 ： 4 . 4 .   r o o t 的 权 限 的 权 限 r o o t 拥 有 最 高 权 限 ， 但 是 这 不 是 一 句 空 话 ， 它 表 现 为 在 l i n u x 里 r o o t 确 实 可 以 对 任 何 文 件 、 目 录 做 几 乎 任 何 事 情 ， 而 实 现 的 机 制 是 因 为 l i n u x 的 代 码 是 这 样 规 定 的 。       但 是 如 果 我 自 己 写 一 个 脚 本 ， 里 面 的 代 码 逻 辑 是 如 果 u i d 不 为 0 才 能 往 下 执 行 ， r o o t 的 “ 最 高 权 限 ” 就 没 了 吧 ？ （ 当 然 r o o t                                                                 _ ( " % s :   O n l y   r o o t   c a n   s p e c i f y   a   u s e r   n a m e . n " ) ,                                                                 p r o g n a m e ) ;                                                 e x i t ( - 3 ) ;                                 }   e l s e   {                                                 / *   T h e   i n v o k i n g   u s e r   w a s   r o o t .   * /                                                 u s e r n a m e   =   e x t r a A r g s [ 0 ] ;                                                 / *   S a n i t y - c h e c k   t h e   u s e r   n a m e   * /                                                 i f   ( s t r l e n ( u s e r n a m e )   >   M A X _ U S E R N A M E S I Z E )   {                                                                 f p r i n t f ( s t d e r r ,                                                                                 _ ( " % s :   T h e   u s e r   n a m e   s u p p l i e d   i s   t o o   l o n g . n " ) ,                                                                                 p r o g n a m e ) ;                                                                 e x i t ( - 3 ) ;                                                 }                                 }                                 / *   I f   t h e r e   i s   m o r e   t h a n   o n e   u n r e c o g n i z e d   a r g u m e n t ,   w e   s u d d e n l y                                   *   g e t   c o n f u s e d .   * /                                 i f   ( e x t r a A r g s [ 1 ]   ! =   N U L L )   {                                                 f p r i n t f ( s t d e r r ,                                                                 _ ( " % s :   O n l y   o n e   u s e r   n a m e   m a y   b e   s p e c i f i e d . n " ) ,                                                                 p r o g n a m e ) ;                                                 e x i t ( - 3 ) ;                                 }                 } g e t u i d ( ) g e t u i d ( ) g e t e u i d ( ) - r w x r - x r - x .   1   r o o t   r o o t   1 0 6 8 8   1 1 月   2 3   2 0 1 3   / e t c / i n i t . d / i p t a b l e s # o n l y   u s a b l e   f o r   r o o t [   $ E U I D   =   0   ]   | |   e x i t   4
直 接 修 改 脚 本 那 另 说 ） 。   类 似 的 比 如 o r a c l e 的 安 装 过 程 中 ， 如 果 你 用 r o o t 账 号 去 执 行 安 装 脚 本 ， 就 会 是 这 样 ：   这 估 计 也 是 在 脚 本 里 写 的 一 个 逻 辑 判 断 。 五 、 结 尾 五 、 结 尾 先 写 到 这 ， 其 余 部 分 放 下 篇 文 章 写 ， 还 有 几 种 访 问 控 制 的 方 法 没 写 。   其 实 访 问 控 制 不 很 好 弄 ， 因 为 不 太 清 楚 实 际 业 务 中 ， 被 测 评 单 位 会 用 什 么 方 式 进 行 访 问 控 制 ， 也 就 是 不 知 道 会 用 什 么 技 术 。 更 何 况 ， 很 多 被 测 评 单 位 自 己 压 根 就 没 做 权 限 控 制 … …   不 过 无 论 如 何 ， 访 问 控 制 必 然 要 用 某 些 方 法 实 现 ， 那 么 其 中 用 户 、 用 户 组 ， 目 录 、 文 件 的 基 础 知 识 是 怎 么 也 绕 不 过 去 的 。 比 如 涉 及 到 用 户 ， 你 肯 定 要 判 断 他 有 没 有 被 禁 用 吧 ？ 说 句 不 好 听 的 ， 如 果 通 过 访 谈 ， 被 测 评 单 位 说 他 做 了 访 问 控 制 ， 你 至 少 也 得 知 道 怎 么 去 取 证 吧 ？ 最 后 ， 因 为 涉 及 的 都 是 基 础 知 识 ， 所 以 就 概 括 的 写 了 下 ， 想 详 细 的 了 解 的 话 ， 建 议 去 网 上 找 找 资 料 ， 这 部 分 的 知 识 网 上 还 是 写 得 很 详 细 和 清 晰 的 。 * 本 文 作 者 ： 本 文 作 者 ： 起 于 凡 而 非 于 凡 ， 本 文 属 起 于 凡 而 非 于 凡 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐

阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 13:16 , Processed in 0.543258 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表