Linux Essentials//Die Einsteiger-Zertifizierung des LPI - Linup Front ...

A Musterlösungen 237
11.12 Probieren Sie etwas wie
$ unzip files.zip "a/*" -x "*/*.c"
12.1 Ein einfaches su (ohne /bin/ davor) würde im Prinzip auch klappen. Allerdings
ist es sinnvoll, sich das /bin/su anzugewöhnen, weil Sie dadurch besser
gegen »trojanische Pferde« geschützt sind: Ein cleverer Benutzer könnte in einem
Verzeichnis in seinem $PATH ein Programm unterbringen, das su heißt und vor dem
in /bin gefunden wird. Dann ruft er Sie wegen irgendeinem vorgeschützten Problem
an seinen Rechner, Sie sagen sich »Das habe ich gleich, ich leihe mir nur mal
die Terminalsitzung hier aus, um kurz root zu werden«, rufen nichtsahnend »su«
auf, und das Programm Ihres cleveren Benutzers fragt Sie nach dem root-Kennwort,
so wie das echte su es auch machen würde. Bis darauf, dass es das Kennwort
irgendwo in eine Datei sichert, eine Fehlermeldung ausgibt und sich selbst löscht.
Sie denken natürlich, dass Sie sich beim Kennwort vertippt haben, rufen nochmal
»su« auf, bekommen diesmal das echte Programm und ab hier ist alles OK –
bis darauf, dass Ihr cleverer Benutzer jetzt das root-Kennwort weiß. Wenn Sie von
Anfang an »/bin/su« benutzen, kann dieser Angriff nicht so einfach funktionieren.
12.2 Mit su kann irgendein beliebiger Benutzer Administratorrechte bekommen,
wenn er das root-Kennwort weiß. Mit sudo werden Sie dagegen nur dann Erfolg
haben, wenn Sie in der sudo-Konfiguration als befugt eingetragen sind. sudo fragt
Sie also nicht nach dem Kennwort, um herauszufinden, ob Sie überhaupt root sein
dürfen, sondern um sicherzustellen, dass Sie Sie sind. (Sie könnten mal eben rausgegangen
sein und irgendwer hat sich über Ihren Rechner hergemacht.) Dafür ist
Ihr eigenes Kennwort genauso nützlich wie das root-Kennwort. Besonders praktisch
ist sudo, wenn Sie sich die Systemadministration mit ein paar Kollegen teilen,
da dann niemand das tatsächliche root-Kennwort wissen muss – Sie können etwas
sehr Langes und Kompliziertes vergeben und es nach der Grundinstallation des
Rechners in einem verschlossenen Umschlag in den Safe tun (für Notfälle). Bei su
müßten alle Administratoren das Kennwort wissen, was Änderungen kompliziert
macht. (Die SUSE-Distributionen verwenden auch bei sudo das root-Kennwort und
sind anscheinend sogar noch stolz auf diese Form von Hirnschaden.)
12.7 Hier ist die RPM-Variante:
$ rpm --query --all | wc -l
Und auf einem Debian-artigen System sollten Sie etwas verwenden wie
$ dpkg --list | grep ^ii | wc -l
13.1 Durch deren numerische UID und GID.
13.2 Das funktioniert, ist aber nicht notwendigerweise eine gute Idee. Für das
System ist das dann derselbe Benutzer, das heißt, alle Dateien und Prozesse mit
der entsprechenden UID gehören beiden Benutzern.
13.3 Die UIDs von Pseudobenutzern werden von (Dienst-)Programmen genutzt,
die dadurch exakt definierte Zugriffsrechte bekommen.
13.4 Wer in der Gruppe disk ist, hat Lese- und Schreibrecht auf die Platten auf
Blockebene. Mit Kenntnissen über die Dateisystemstruktur ist es einfach, eine Kopie
von /bin/sh zu einer SUID-root-Shell (Abschnitt 14.4) zu machen, indem man
direkt die Verwaltungsinformationen auf der Platte ändert. Damit ist Mitgliedschaft
in der Gruppe disk im Wesentlichen äquivalent zu root-Rechten; Sie sollten
niemanden in die Gruppe disk aufnehmen, dem Sie nicht das root-Kennwort verraten
würden.
Copyright © 2012 Linup Front GmbH