Xác minh các nhị phân lệnh trước khi thực hiện

Có bất kỳ phương pháp nào để kiểm tra những gì bạn đang thực sự thực hiện từ một tập lệnh bash không?

Nói kịch bản bash của bạn đang kêu gọi một số lệnh (ví dụ: tar, mail, scp, mysqldump) và bạn sẵn sàng để đảm bảo rằng tarlà thực tế, thực tar, đó là xác định được bởi rootngười sử dụng là các tập tin và thư mục cha chủ sở hữu và người duy nhất có quyền ghi và không phải là một số /tmp/surprise/tarvới www-datahoặc apache2là chủ sở hữu.

Chắc chắn tôi biết về PATHvà môi trường, tôi tò mò muốn biết liệu điều này có thể được kiểm tra bổ sung từ tập lệnh bash đang chạy hay không và nếu có thì chính xác như thế nào?

Ví dụ: (mã giả)

tarfile=$(which tar)
isroot=$(ls -l "$tarfile") | grep "root root"
#and so on...

Thay vì xác thực các nhị phân bạn sẽ thực thi, bạn có thể thực thi các nhị phân đúng từ đầu. Ví dụ: nếu bạn muốn chắc chắn rằng bạn sẽ không chạy /tmp/surprise/tar, chỉ cần chạy /usr/bin/tartrong tập lệnh của bạn. Hoặc, đặt $PATHgiá trị của bạn trước khi chạy bất cứ thứ gì.

Nếu bạn không tin tưởng các tập tin trong /usr/bin/và các thư mục hệ thống khác, không có cách nào để lấy lại sự tự tin. Trong ví dụ của bạn, bạn đang kiểm tra chủ sở hữu ls, nhưng làm thế nào để bạn biết bạn có thể tin tưởng ls? Lập luận tương tự áp dụng cho các giải pháp khác như md5sumvà strace.

Khi cần độ tin cậy cao về tính toàn vẹn của hệ thống, các giải pháp chuyên dụng như IMA được sử dụng. Nhưng đây không phải là thứ bạn có thể sử dụng từ một tập lệnh: toàn bộ hệ thống phải được thiết lập theo một cách đặc biệt, với khái niệm các tập tin bất biến được đặt ra.

Nếu kẻ xâm nhập đã giành được quyền truy cập vào hệ thống của bạn và có thể sửa đổi $PATH(không nên bao gồm /tmptrong mọi trường hợp), thì đã quá muộn để bắt đầu lo lắng về quyền sở hữu của các thực thi.

Thay vào đó bạn nên đọc về cách đối phó với một sự xâm nhập .

Tốt hơn để tập trung vào việc tránh xâm nhập hoàn toàn.

Nếu bạn có một hệ thống mà những thứ này quan trọng, thì có lẽ nên cách ly các phần của nó cần được công khai khỏi các phần cần riêng tư, cũng như thực hiện kiểm toán các phương thức giao tiếp giữa những điều này.

Ở một mức độ nào đó có thể bằng cách xác minh md5sumtệp. Do đó, trên các hệ thống sử dụng aptquản lý gói - trong trường hợp cụ thể của tôi, Ubuntu 16.04 - có tệp /var/lib/dpkg/info/tar.md5sums, lưu trữ tổng md5 của tất cả các tệp xuất phát tartrong quá trình cài đặt. Vì vậy, bạn có thể viết một câu lệnh if đơn giản để kiểm tra xem đầu ra của md5sum /bin/tarkhớp có khớp với những gì trong tệp đó không.

Điều đó tất nhiên giả định rằng chính tập tin đã không bị giả mạo. Điều này tất nhiên chỉ có thể xảy ra khi kẻ tấn công đã nhận được quyền truy cập root / sudo, tại thời điểm đó tất cả các cược đã tắt.

Vâng, có một phương pháp: nội dung type. Trái ngược với whichlệnh chỉ tìm kiếm trong PATH của bạn, typesẽ cho bạn biết tên lệnh có thực sự là từ khóa dành riêng, nội dung, bí danh, hàm hoặc tệp đĩa hay không.

$ type -t foobar || echo "Not found"
Not found

$ type -t echo
builtin

$ enable -n echo; type -t echo; type -p echo
file
/usr/bin/echo

$ echo() { printf "(echoing) %s\n" "$*"; }; type -t echo
function

$ alias echo="/bin/echo 'I say: ' "; type -t echo
alias

Ngoài ra, type -asẽ cung cấp cho bạn tất cả các ứng cử viên cho lệnh của bạn (từ lựa chọn đầu tiên đến lựa chọn cuối cùng):

$ type -a echo
echo is aliased to `/bin/echo 'I say: ' '
echo is a function
echo () 
{ 
    printf "(echoing) %s\n" "$*"
}
echo is a shell builtin
echo is /usr/local/bin/echo
echo is /bin/echo

Cuối cùng, nếu bạn chỉ quan tâm đến các tệp nhị phân trên đĩa của mình, bạn có thể sử dụng type -Pađể lấy tất cả các tệp nhị phân trong PATH của mình (theo thứ tự như trên):

$ type -Pa tar
/home/me/bin/tar                <= oh oh, is this normal?
/bin/tar

Điều đó nói rằng, typemột mình sẽ không cho bạn biết chính xác lệnh nào sẽ được gọi cuối cùng. Ví dụ: nếu tarbí danh của bạn gọi là nhị phân (ví dụ alias tar="/tmp/tar") thì typesẽ cho bạn biết đây là một alias.

Bạn có thể kiểm tra chính xác các lệnh đang được thực thi bởi tập lệnh bằng cách sử dụng strace. Ví dụ:

strace -f -e execve ./script.sh

Với đoạn script sau:

#!/bin/bash
touch testfile.txt
echo "Hello" >> testfile.txt
cat testfile.txt
rm testfile.txt

stracesẽ cho bạn biết đường dẫn chính xác đến các lệnh được thực thi khi được sử dụng với -e execvetham số:

execve("./script.sh", ["./script.sh"], [/* 69 vars */]) = 0 
Process 8524 attached
[pid  8524] execve("/usr/bin/touch", ["touch", "testfile.txt"], [/* 68 vars */]) = 0 
[pid  8524] +++ exited with 0 +++
--- SIGCHLD {si_signo=SIGCHLD, si_code=CLD_EXITED, si_pid=8524, si_status=0, si_utime=0, si_stime=0} --- 
Process 8525 attached [pid > 8525] execve("/bin/cat", ["cat", "testfile.txt"], [/* 68 vars */]) = 0
Hello [pid  8525] +++ exited with 0 +++
--- SIGCHLD {si_signo=SIGCHLD, si_code=CLD_EXITED, si_pid=8525, si_status=0, si_utime=0, si_stime=0} --- 
Process 8526 attached [pid > 8526] execve("/bin/rm", ["rm", "testfile.txt"], [/* 68 vars */]) = 0
[pid  8526] +++ exited with 0 +++
--- SIGCHLD {si_signo=SIGCHLD, si_code=CLD_EXITED, si_pid=8526, si_status=0, si_utime=0, si_stime=0} ---
+++ exited with 0 +++

Các thông số (từ strace man):

-f: Theo dõi các tiến trình con khi chúng được tạo bởi các tiến trình hiện tại là kết quả của các lệnh gọi hệ thống fork (2), vfork (2) và clone (2). Lưu ý rằng -p PID -fsẽ đính kèm tất cả các luồng của quá trình PID nếu nó là đa luồng, không chỉ luồng với thread_id = PID.

-e trace=file: Theo dõi tất cả các cuộc gọi hệ thống lấy tên tệp làm đối số. Bạn có thể coi đây là một từ viết tắt -e trace=open,stat,chmod,unlink,...hữu ích để xem các tệp mà quá trình đang tham chiếu. Hơn nữa, sử dụng chữ viết tắt sẽ đảm bảo rằng bạn không vô tình quên bao gồm một cuộc gọi như lstat trong danh sách.

Linux os dựa trên các tệp và nhiều lệnh được thực thi trên linux có thể sẽ giải quyết một số thay đổi trong các tệp nằm trên máy của bạn. Bởi vì đó có thể là giải pháp tốt nhất cho vấn đề của bạn. Bạn có thể kiểm tra các lệnh của mình cho bất kỳ thay đổi nào trên hệ thống tệp trước khi nó được thực thi.

Có lệnh 'strace' dịch ngược lệnh của bạn trong các phần ...

Nếu bạn thực sự muốn đi sâu, bạn muốn kiểm tra trình dịch ngược cho các tập lệnh mà nó sẽ được thực thi. Nói cách khác, bạn phải kiểm tra trình biên dịch của trình biên dịch lệnh đó. Cho bash đó objdump -d. Các kịch bản bin Linux chủ yếu được tạo bằng Cngôn ngữ lập trình nên sử dụng trình Cdịch ngược tốt .