搜索

[23443] 2015-01-02_360forLinux与setuid

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2015-01-02_360forLinux与setuid 3 6 0   f o r   L i n u x   与   s e t u i d L i n u x 中 国   2 0 1 5 - 0 1 - 0 2 前 言 今 日 ， 国 内 著 名 安 全 类 软 件   3 6 0   正 式 进 军   L i n u x   平 台 ， 目 前 已 提 供   D e b i a n / U b u n t u / D e e p i n   以 及 中 标 麒 麟 的 预 编 译 二 进 制 。 而 包 括 我 在 内 的 吃 螃 蟹 者 都 不 同 程 度 地 注 意 到 了   3 6 0   f o r   L i n u x   的 二 进 制 在 正 常 状 况 下 被 设 置 了   s e t u i d   位 。 即   4 7 5 5   权 限 。 如 h t t p : / / w w w . v 2 e x . c o m / t / 1 5 8 3 8 0 # r e p l y 2 7   以 及   h t t p : / / t i e b a . b a i d u . c o m / p / 3 4 9 9 3 4 3 3 3 2 图 ：   3 6 0   f o r   L i n u x   的 权 限 位 如 图 所 示 ， 这 是 我 在   V i r t u a l B o x   O S E   中 安 装 的   L u b u n t u   1 4 . 1 0   中 的   3 6 0   f o r   L i n u x   安 装 后 的 权 限 位 ，   l s   已 经 将 其 标 红 并 且 显 示 权 限 位 为   - r w s r - x r - x   ( 4 7 5 5 )   。 下 面 就   s e t u i d   以 及 其 作 用 展 开 一 些 推 论 。 什 么 是   s e t u i d   以 及 相 关 的 安 全 隐 患 s e t u i d   以 及   s e t g i d   是   U N I X   环 境 下 的 特 殊 权 限 位 。 当 作 用 于 可 执 行 文 件 时 ， 该 权 限 位 将 导 致 无 论 以 何 用 户 启 动 ， 该 可 执 行 文 件 将 拥 有 其 所 有 者 的 权 限 。 如   / u s r / b i n / s u d o   的 拥 有 者 为   r o o t   且 权 限 为   4 7 5 5 ,   那 么 即 使 一 个 非   r o o t   用 户 执 行 了   s u d o ,   其 依 然 会 拥 有   r o o t   的 权 限 ， 如 读 取 / e t c / s h a d o w   文 件   ( - r — — — — ,   r o o t : r o o t )   的 权 限 。 对 于 用 户 而 言 ， 其 最 直 接 的 意 义 在 于 合 法 的 无 密 码 提 权 。 这 使 得 一 般 使 用 该 特 性 的 程 序 都 被 小 心 设 计 以 免 不 测 。 因 为 如 果 设 计 不 当 ， 攻 击 者 可 能 可 以 在 不 需 要 任 何 密 码 的 情 况 下 轻 松 夺 取 对 目 标 系 统 的 最 高 权 限 。 基 于 同 样 的 原 因 ， 包 括   L i n u x   在 内 的 部 分 操 作 系 统 会 忽 略 设 置 在 脚 本 文 件 上 的   s e t u i d / s e t g i d   位 。 对 于 普 通 用 户 而 言 ， 一 个 被   s e t u i d / s e t g i d   了 的 恶 意 可 执 行 文 件 将 能 够 在 不 盗 取 密 码 的 情 况 下 破 坏 整 个 系 统 （ 尤 其 是 当 类 似   T O M O Y O   L i n u x   的 强 制 访 问 控 制 系 统 没 有 正 确 设 置 时 ） 。 因 而 一 般 情 况 下 开 发 者 以 及 系 统 管 理 员 都 会 谨 慎 处 理 这 一 特 殊 权 限 。 如 在   D e b i a n   中 ， 可 以 通 过 对   m a n   程 序 设 置   s e t u i d   位 来 加 快   m a n - d b   索 引 但 是 由 于 可 能 带 来 的 安 全 隐 患 该 选 项 必 须 在 安 装 过 程 中 由 用 户 启 用 。 3 6 0   f o r   L i n u x   对   s e t u i d   应 用 的 利 弊 分 析 s e t u i d   位 最 直 接 的 用 处 是 允 许   3 6 0   f o r   L i n u x   在 不 被 用 户 注 意 的 情 况 下 以   r o o t   权 限 允 许 。 一 方 面 ， 这 将 免 除 用 户 每 次 开 机 都 要 输 入 密 码 的 麻 烦 ； 另 一 方 面 ， 由 于 用 户 无 法 察 觉 ， 该 程 序 可 能 在 有 意 无 意 之 中 对 系 统 造 成 无 法 修 复 的 破 坏 或 者 成 为 其 他 恶 意 软 件 入 侵 系 统 的 跳 板 （ 比 如 W i n d o w s   上 的   S o n y   B M G   C D   反 拷 贝 程 序 由 于 设 计 不 良 就 成 为 了 其 他 恶 意 软 件 的 跳 板 ） 。 同 时 ， 如 果 该 程 序 留 有 （ 可 能 存 在 ） 的 后 门 ， 用 户 也 无 法 从   U N I X   权 限 系 统 得 到 应 有 的 保 护 。
图 ： 部 分 使 用 了   s e t u i d   的 程 序 。 这 些 程 序 并 非 全 部 都 需 要 该 权 限 位 ， 部 分 程 序 可 以 改 用   P o l i c y K i t   来 实 现 提 权 。 P o l i c y K i t   与 无 密 码 提 权 一 些 想 法 图 ：   G N O M E   P a c k a g e K i t   使 用   P o l i c y K i t   进 行 有 密 码 提 权 以 删 除 软 件 包
原 文 ：   h t t p : / / b l o g . t o m b u . b i z / p o s t / 1 0 6 7 6 8 7 0 6 7 5 0 / 3 6 0 - f o r - l i n u x - s e t u i d 作 者 ：   J u d g e m e n t _ E n g i n e e r 图 ：   W i n d o w s   U A C   对 需 要   A d m i n i s t r a t o r   权 限 的   A c r o n i s   T r u e   I m a g e   进 行 提 权 前 提 示 用 户 输 入 凭 据 我 们 必 须 承 认 ， 无 密 码 提 权 在 一 定 程 度 上 方 便 了 用 户 ， 但 与 此 同 时 这 种 行 为 也 埋 下 了 安 全 隐 患 。 比 如 在   A O S C   O S 2   时 代 ，   A n t h o n O S   默 认 s u d o   可 以 进 行 无 密 码 提 权 但 是 这 一 设 定 以 及 因 为 潜 在 的 安 全 风 险 被 禁 止 了 。 在 很 多 时 候 ， 密 码 是 给 用 户 知 情 权 与 选 择 权 。 用 户 知 道 一 个 程 序 要 提 权 并 且 用 户 也 有 选 择 去 拒 绝 他 所 不 信 任 的 提 权 请 求 。 同 时 ， 如 果 用 户 如 果 对 某 个 先 前 的 决 定 反 悔 或 发 现 其 为 误 操 作 ， 此 时 也 可 以 阻 止 该 行 为 的 继 续 以 避 免 损 失 。 3 6 0   这 种 行 为 则 涉 嫌 向 用 户 隐 瞒 自 身 的 提 权 行 为 。 这 也 许 只 是 为 了 方 便 用 户 ， 也 有 可 能 有 其 他 企 图 。 而 如 果 只 是 为 了 避 免 在   W i n d o w s   V i s t a   时 代 的 尴 尬 ， 也 就 是 每 次 开 机 都 出 现 授 权 弹 窗 ， 也 不 一 定 需 要 使 用   s e t u i d   这 一 有 严 重 安 全 隐 患 的 方 法 。   P o l i c y K i t   提 供 了 一 套 将 程 序 分 离 为 以 特 权 权 限 运 行 和 以 非 特 权 权 限 运 行 的 两 部 分 并 且 进 行 互 相 沟 通 的 机 制 。 比 如   G N O M E   P a c k a g e K i t   本 身 以 非 特 权 运 行 ， 其 通 过   P o l i c y K i t   发 起 需 要 特 权 的 请 求 并 由   P o l i c y K i t   决 定 是 否 需 要 用 户 参 与 提 权 。 而 在   W i n d o w s   平 台 上 ， A v i r a   旗 下 的 安 全 产 品 的 主 界 面 并 不 需 要 以 特 权 启 动 ， 而 仅 在 更 改 设 定 或 关 闭 / 开 启 监 控 时 通 过   U A C   进 行 提 权 ， 避 免 了 开 机 时 弹 出 交 互 式 授 权 对 话 框 的 尴 尬 。 结 语 综 上 所 述 ，   3 6 0   f o r   L i n u x   使 用   s e t u i d   可 能 有 其 原 因 。 但 是 鉴 于   s e t u i d   本 身 巨 大 的 隐 患 ， 建 议 用 户 现 阶 段 慎 重 使 用 该 软 件 。 我 本 人 也 呼 吁 现 在 与 或 即 将 与 奇 虎 有 合 作 的 厂 商 对   3 6 0   f o r   L i n u x   本 身 进 行 全 面 的 安 全 审 计 以 防 被 居 心 叵 测 者 利 用 或 者 可 能 存 在 后 门 。 与 此 同 时 ， 我 本 人 也 建 议 3 6 0   f o r   L i n u x   使 用 标 准 的   P o l i c y K i t   架 构 ， 实 现 特 权 部 分 与 非 特 权 部 分 的 分 离 ， 并 且 给 用 户 适 当 的 提 示 以 满 足 其 知 情 权 和 选 择 权 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理