Tại sao su thế giới thực thi?

Tôi có một máy chủ không đầu được đăng nhập từ xa bởi nhiều người dùng. Không ai trong số những người dùng khác ở trong tệp sudoers, vì vậy họ không thể lấy được root thông qua sudo. Tuy nhiên, vì các điều khoản trên sulà -rwsr-xr-xkhông có gì ngăn cản được họ từ cố gắng để brute force password root là.

Người ta có thể lập luận rằng nếu người dùng biết mật khẩu gốc thì họ có thể thỏa hiệp hệ thống, nhưng tôi không nghĩ đây là trường hợp. OpenSSH được cấu hình với PermitRootLogin novà PasswordAuthentication no, và không ai trong số những người dùng khác có quyền truy cập vật lý vào máy chủ. Theo như tôi có thể nói, thế giới thực thi quyền /usr/bin/sulà con đường duy nhất cho người dùng cố gắng root trên máy chủ của tôi.

Điều khiến tôi bối rối hơn nữa là nó thậm chí còn không hữu ích. Nó cho phép tôi chạy sutrực tiếp thay vì cần phải làm sudo su, nhưng điều này hầu như không phải là một sự bất tiện.

Tôi đang nhìn cái gì đó? Là thế giới thực thi sự cho phép trên suchỉ vì lý do lịch sử? Có bất kỳ nhược điểm nào trong việc loại bỏ sự cho phép mà tôi chưa gặp phải không?

Một điểm còn thiếu trong câu trả lời của ilkkachu là việc nâng lên root chỉ là một cách sử dụng cụ thể su. Mục đích chung của su là mở một vỏ mới trong tài khoản đăng nhập của người dùng khác. Người dùng khác có thể root(và có lẽ thường xuyên nhất là), nhưng sucó thể được sử dụng để giả sử bất kỳ danh tính nào mà hệ thống cục bộ có thể xác thực.

Ví dụ: nếu tôi đăng nhập với tư cách là người dùng jimvà tôi muốn điều tra một sự cố mikeđã được báo cáo, nhưng tôi không thể sao chép, tôi có thể thử đăng nhập với tư cách mikevà chạy lệnh gây rắc rối cho anh ta.

13:27:20 /home/jim> su -l mike
Password:(I type mike's password (or have him type it) and press Enter)
13:27:22 /home/mike> id
uid=1004(mike) gid=1004(mike) groups=1004(mike)
13:27:25 /home/mike> exit  # this leaves mike's login shell and returns to jim's
13:27:29 /home/jim> id
uid=1001(jim) gid=1001(jim) groups=1001(jim),0(wheel),5(operator),14(ftp),920(vboxusers)

Sử dụng -ltùy chọn sunguyên nhân để mô phỏng đăng nhập đầy đủ (trên mỗi mantrang).

Ở trên đòi hỏi kiến ​​thức về mikemật khẩu, tuy nhiên. Nếu tôi có sudoquyền truy cập, tôi có thể đăng nhập mikengay cả khi không có mật khẩu của anh ấy.

13:27:37 /home/jim> sudo su -l mike
Password:(I type my own password, because this is sudo asking)
13:27:41 /home/mike>

Tóm lại, lý do các quyền trên sutệp thực thi là như bạn hiển thị, là bởi vì đây sulà một công cụ có mục đích chung có sẵn cho tất cả người dùng trên hệ thống.

Về mặt lịch sử (trên các đơn vị không phải GNU), không, hoặc ít nhất nó đã kiểm tra thủ công nếu bạn ở trong một nhóm gọi là "bánh xe" được phép su. Phiên bản GNU sukhông tái tạo chức năng này do hệ tư tưởng của RMS về kiểm soát truy cập tại thời điểm đó:

Why GNU `su' does not support the `wheel' group
===============================================

   (This section is by Richard Stallman.)

   Sometimes a few of the users try to hold total power over all the
rest.  For example, in 1984, a few users at the MIT AI lab decided to
seize power by changing the operator password on the Twenex system and
keeping it secret from everyone else.  (I was able to thwart this coup
and give power back to the users by patching the kernel, but I wouldn't
know how to do that in Unix.)

   However, occasionally the rulers do tell someone.  Under the usual
`su' mechanism, once someone learns the root password who sympathizes
with the ordinary users, he or she can tell the rest.  The "wheel
group" feature would make this impossible, and thus cement the power of
the rulers.

   I'm on the side of the masses, not that of the rulers.  If you are
used to supporting the bosses and sysadmins in whatever they do, you
might find this idea strange at first.

Bạn có thể tìm thấy nhiều hơn về vấn đề này bằng cách "nhóm bánh xe rms" hoặc tương tự.

Tuy nhiên, vì các điều khoản trên sulà -rwsr-xr-xkhông có gì ngăn cản được họ từ cố gắng để brute force password root là.

Vâng. Giả sử hệ thống Linux thông thường của bạn, pam_unix.somô-đun sẽ trì hoãn nỗ lực xác thực thất bại trong khoảng hai giây, nhưng tôi không nghĩ có gì để ngăn chặn các nỗ lực đồng thời.

Tất nhiên các nỗ lực không được ghi lại:

Aug 16 22:52:33 somehost su[17387]: FAILED su for root by ilkkachu

Brute-buộc một mật khẩu sẽ hiển thị nổi bật trong nhật ký, nếu bạn có bất kỳ loại hệ thống để theo dõi chúng. Và nếu bạn có người dùng địa phương không tin cậy, có lẽ bạn nên. Người dùng địa phương không đáng tin cậy cũng có thể cố gắng sử dụng bất kỳ khai thác leo thang đặc quyền chỉ dành cho địa phương và chúng phổ biến hơn nhiều so với leo thang đặc quyền từ xa.

Điều khiến tôi bối rối hơn nữa là nó thậm chí còn không hữu ích.

Tất nhiên nó hữu ích, nó cho phép bạn tự nâng mình lên root, nếu bạn biết mật khẩu.

Nó cho phép tôi chạy sutrực tiếp thay vì cần phải làm sudo su, nhưng điều này hầu như không phải là một sự bất tiện.

sudo sulà hơi dư thừa. Không cần sử dụng hai chương trình có nghĩa là cho phép bạn chạy các chương trình như một người dùng khác, một chương trình là khá đủ. Chỉ cần sử dụng sudo -ihoặc sudo -s(hoặc sudo /bin/bashvv) nếu bạn muốn chạy shell.

Tôi đang nhìn cái gì đó? Là thế giới thực thi quyền trên su chỉ vì lý do lịch sử?

Xem ở trên. Chà, không phải tất cả các hệ thống đều có thể sudothay thế, tôi không chắc nếu bạn xem đó là lịch sử.

Có bất kỳ nhược điểm nào trong việc loại bỏ sự cho phép mà tôi chưa gặp phải không?

Không thực sự, không xa như tôi biết. Tôi nghĩ rằng một số hệ thống đã suthiết lập để chỉ thành viên của một nhóm cụ thể (" wheel") có thể chạy nó. Bạn có thể làm tương tự sudonếu bạn thích ( chown root.sudousers /usr/bin/sudo && chmod 4710 /usr/bin/sudo).

Hoặc bạn chỉ có thể xóa một hoặc cả hai chương trình nếu bạn không cần chúng. Mặc dù trên Debian, suđi kèm với logingói, vì vậy có lẽ không nên loại bỏ toàn bộ gói. (Và ghép nối loginvà suvới nhau như thế có vẻ hơi lịch sử.)

Bạn đã có một số câu trả lời hay, nhưng có một phần trong bài đăng của bạn mà họ không giải quyết.

Theo như tôi có thể nói, thế giới thực thi quyền trên / usr / bin / su là con đường duy nhất cho người dùng cố gắng lấy quyền root trên máy chủ của tôi.

Đó là một giả định nguy hiểm. Nếu bạn đã đặt mật khẩu tốt cho root, thì trong hầu hết các trường hợp, nhiều khả năng việc leo thang đặc quyền thành công sẽ là do việc khai thác lỗi trong kernel hoặc nhị phân setuid (tất nhiên bạn cũng có thể xóa setuid bit từ những thứ đó, nhưng passwdlà setuid và nếu bạn muốn bảo mật cao, bạn cũng nên cung cấp cho người dùng của mình và từ chối họ tùy chọn thay đổi mật khẩu của họ không tương thích với điều đó).

su cần phải được thực thi trên thế giới để mọi người có thể chạy nó. Trong nhiều hệ thống, nó có thể được sử dụng để thay đổi cho người dùng khác, bằng cách cung cấp mật khẩu của họ.

Nếu bạn lo lắng về việc ai đó đánh cắp mật khẩu gốc, bạn có thể vô hiệu hóa nó. (làm cho hàm băm không hợp lệ để không có mật khẩu nào có thể khớp với nó)

Tôi không biết về sự đồng thuận, nhưng tôi xem xét việc có thể đăng nhập trực tiếp với quyền root là một vấn đề bảo mật.

Các câu trả lời khác là chính xác nói "su" cho phép bạn đăng nhập vào các tài khoản khác ngoài root.

Một lưu ý về "sudo su" mặc dù. Điều này thực sự cho phép bạn đăng nhập vào tài khoản root mà không cần biết mật khẩu root. Bạn phải biết mật khẩu của tài khoản bạn chạy sudo cũng như tài khoản đó có trong tệp sudoers.