Отправляет email-рассылки с помощью сервиса Sendsay

Linux: разрешение вопросов, перспективы и общение

Подписаться Бесплатный дискуссионный лист Подписчиков 997
←   Январь 2006   →
 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31


За последние 60 дней ни разу не выходила


Сайт листа: http://www.linuxrsp.ru
Открыт: 25-07-2003
Пре-модерация: Нет
Адрес для писем в лист: comp.soft.linux.discuss-list@subscribe.ru
Адрес модератора: comp.soft.linux.discuss-owner@subscribe.ru

Модератор
Фёдор Сорекс

Статистика

997 подписчиков
0 за неделю

пользователи, сервисы... etc

Как пользователям разрешить устанавливать пакеты?

Безопасно ли запускать сервис из под пользователя не имеющего права и шелл?
Если да, то как из под такого польователя запускать сервиса, скажем пусть будет
sshd?

Как автозапускаются сервисы, файлы, скрипты,.. в каких файлах это прописывается?
,
а то поставил себе sshd чтоб посмотреть как запускается и не нашел в servicex
и inetd.conf
может не там искал?

-*Название листа "Linux: разрешение вопросов, перспективы и общение";
Написать в лист: mailto:comp.soft.linux.discuss-list@subscribe.ru
Адрес правил листа http://subscribe.ru/catalog/comp.soft.linux.discuss/rules
Номер письма: 23377; Возраст листа: 893; Участников: 1473
Адрес сайта рассылки: http://www.linuxrsp.ru
Адрес этого письма в архиве: http://subscribe.ru/archive/comp.soft.linux.discuss/msg/496644

Ответить  
Gift
Tue, 3 Jan 2006 15:23:40 +0300 (#496644)

 

Ответы:

В сообщении от 1136294620 секунд после начала Эпохи Gift написал(а):

Установка пакетов (в системные каталоги) - занятие исключительно
суперпользователя. Так что вам либо su, либо sudo, возможно чем-то
помогут.

Права на что? И смотря какой сервис.

sshd должен запускаться от root'а.

Зависит от дистрибутива. Если в дистрибутиве используются скрипты
инициализации SysV, то скрипты запуска/остановки служб лежат в
`/etc/init.d/*'.

Ответить   Konstantin Korikov Tue, 3 Jan 2006 19:23:58 +0200 (#496796)

 

Hello Konstantin,

Tuesday, January 3, 2006, 8:23:58 PM, you wrote:

то есть установленные программы из под рута, будут из под него
запускаться?

ну скажем ето просто пользоваетель котрый может только в своем хоме
играться

разве то для чего служит сервис имеет значение?

будет

почему, а если его сломают каким нидь експлойтом то будет шелл
если сервис будет запускаться из под рута то рутовый шелл..
а если из под юзера то обычный, и до рута нужно будет еще попотеть
разве я не прав?

дистрибутив debian

в inetd.conf и services даже нет упоминания о кроне и суслоге

может какой нибудь командй можно узнать откуда запускаются?

Ответить  
Gift
Wed, 4 Jan 2006 01:00:33 +0300 (#496853)

 

On Wed, 4 Jan 2006 01:00:33 +0300
Gift <Gi***@u*****.ru> wrote:

А к чему это вообще сдесь? Вы в них заглядывали, или grep'ом искали?
Глянте, все станет ясно.

/etc/rc?.d/ - в этих каталогах распиханы ссылки по уровням запуска.

Ответить   Matvey Wed, 4 Jan 2006 01:08:28 +0200 (#496871)

 

Hello Matvey,

Wednesday, January 4, 2006, 2:08:28 AM, you wrote:

в инетд пусто
в сервисе тоже(тока описание всех портов и процессов к ним)

вот откомпилировал openssh-3.9p1.tar.gz
а автоматический запуск не могу приделать ((

Ответить  
Gift
Wed, 4 Jan 2006 03:49:13 +0300 (#496875)

 

В сообщении от 1136339353 секунд после начала Эпохи Gift написал(а):

И зачем? Дистрибутивного мало?

Ответить   Konstantin Korikov Wed, 4 Jan 2006 02:26:06 +0200 (#496884)

 

Hello Konstantin,

Wednesday, January 4, 2006, 3:26:06 AM, you wrote:

в дистрибе 3.8
а в 3.9 кучу всего есть
да и xspider на 3.8 что то ворчит
темболее надобны банер сменить )
а после *.deb этого никак низя сделать
или можно?

как изолировать демон в своей собственной среде?

-*Название листа "Linux: разрешение вопросов, перспективы и общение";
Написать в лист: mailto:comp.soft.linux.discuss-list@subscribe.ru
Адрес правил листа http://subscribe.ru/catalog/comp.soft.linux.discuss/rules
Номер письма: 23414; Возраст листа: 894; Участников: 1473
Адрес сайта рассылки: http://www.linuxrsp.ru
Адрес этого письма в архиве: http://subscribe.ru/archive/comp.soft.linux.discuss/msg/497086

Ответить  
Gift
Wed, 4 Jan 2006 16:22:05 +0300 (#497086)

 

On Wed, 4 Jan 2006 16:22:05 +0300
Gift <Gi***@u*****.ru> wrote:

Здравствуйте Gift.
Статья на opennet'e "Базовые принципы помещения сервисов в chroot окружение".
http://www.opennet.ru/base/sec/chroot_apache.txt.html
--
С уважение, Трубачев Андрей.
ICQ 235479250

-*Название листа "Linux: разрешение вопросов, перспективы и общение";
Написать в лист: mailto:comp.soft.linux.discuss-list@subscribe.ru
Адрес правил листа http://subscribe.ru/catalog/comp.soft.linux.discuss/rules
Номер письма: 23415; Возраст листа: 894; Участников: 1473
Адрес сайта рассылки: http://www.linuxrsp.ru
Адрес этого письма в архиве: http://subscribe.ru/archive/comp.soft.linux.discuss/msg/497100

Ответить   Trubachev Andrew Wed, 4 Jan 2006 16:04:33 +0000 (#497100)

 

В сообщении от 1136329233 секунд после начала Эпохи Gift написал(а):

Да, и в случаи с обычными приложениями не только из под рута, но и из
под других пользователей.

Конечно.

Потому что процесс (дочерний процесс) должен сменить аффективный и
действительный идентификаторы пользователей, что разрешено делать
только суперпользователю.

Правы. Но есть задачи, которые позволено выполнять только
суперпользователю (например смена привилегий). И тут уж никак без рута
не обойтись. Web-сервер, например, чаще всего работает с правами
обычного пользователя (www, apache), так как он не решает задач,
требующих прав суперпользователя. А вот ftp-серверу зачастую нужны права
суперпользователя для того чтобы сменить UID и EUID у дочернего процесса
при обслуживании неанонимных клиентов.

Значит стартовые скрипты служб расположены в `/etc/init.d/'.

`/etc/inetd.conf' (`/etc/xinetd.conf') - файл конфигурации программы
initd (xinitd), которая позволяет запускать службы по требованию. Она
слушает заданные порты, и когда на них приходят пакеты, она запускает
соответствующую службу.

`/etc/services' - файл задающий соответствия номеров портов и
символических названий служб.

# find /etc -type f -exec fgrep -H sshd \{\} \;

Будет искать `sshd' во всех файлах каталога `/etc' рекурсивно.

Ответить   Konstantin Korikov Wed, 4 Jan 2006 02:05:52 +0200 (#496881)

 

On Wed, 4 Jan 2006 01:00:33 +0300
Gift wrote:

Если на них нет suid бита - то нет.
А обычно suid бита на них нет. В противном случае стоит задуматься:
возможно вас кто-то поимел.

Попробуй сломай. У sshd редко бывают проблемы с безопасностью.
Зато если он будет запущен не из под superuser, то вы сможете зайти в
систему через ssh с правами только того пользователя, который его
запустил.

Ответить  
Vladimir Rusinov
Wed, 4 Jan 2006 18:54:00 +0300 (#497191)