บัญชีสองรูทต้องทำอย่างไร?

ฉันบน Ubuntu 15.04 และในวันนี้ผมได้อ่านบทความเกี่ยวกับความปลอดภัยลินุกซ์จากนี้การเชื่อมโยง

ทุกอย่างเป็นไปด้วยดีจนกระทั่งส่วนหนึ่งของบัญชี UID 0

เฉพาะ root ควรมี UID 0 บัญชีอื่นที่มี UID นั้นมักจะมีความหมายเหมือนกันกับลับๆ

เมื่อรันคำสั่งที่พวกเขาให้ฉันฉันพบว่ามีบัญชีรูทอีกบัญชีหนึ่ง หลังจากนั้นฉันก็ปิดการใช้งานบัญชีตามบทความ แต่ฉันกลัวบัญชีนี้ฉันสามารถหาเขาได้/etc/passwd

rootk:x:0:500::/:/bin/false

และใน /etc/shadow

rootk:!$6$loVamV9N$TorjQ2i4UATqZs0WUneMGRCDFGgrRA8OoJqoO3CCLzbeQm5eLx.VaJHeVXUgAV7E5hgvDTM4BAe7XonW6xmup1:16795:0:99999:7::1:

ฉันพยายามลบบัญชีนี้โดยใช้userdel rootkแต่ได้รับข้อผิดพลาดนี้;

userdel: user rootk is currently used by process 1

กระบวนการที่ 1 คือ systemd ใครช่วยแนะนำฉันหน่อยได้ไหม ฉันควรuserdel -f? บัญชีนี้เป็นบัญชีรูทปกติหรือไม่

ubuntu security root

— Lulzsec
แหล่งที่มา

ฉันสงสัยอย่างยิ่งว่าข้อผิดพลาดนี้เป็นเพราะพวกเขามี UID เดียวกัน (0) ฉันเพิ่งทำการทดสอบโดยการสร้างผู้ใช้คนที่สองด้วย UID ที่มีอยู่และมีรายงานว่าเป็นคนแรกที่เข้า/etc/passwdมา ฉันยังสงสัยว่าการลบบัญชีนั้นอาจมีผลกระทบกับเครื่องเนื่องจากไฟล์และกระบวนการอ้างถึง UID ไม่ใช่ชื่อผู้ใช้ มันจะแนะนำให้เลือก (แม้ว่าส่วนใหญ่ไม่จำเป็นต้อง ) ให้มีดิสก์กู้คืนที่มีประโยชน์ แต่ฉันจะลบมันและรีสตาร์ทเครื่องโดยไม่ต้องกังวลใด ๆ

— Julie Pelletier

ลบ rootk ออกจาก/etc/passwd& /etc/shadow; รีบูทและทุกอย่างก็ดีตอนนี้รูทก็เป็นเพียงผู้เดียวที่แสดงว่าเป็นผู้ใช้รูทขอบคุณสำหรับความช่วยเหลือของคุณ!

— Lulzsec

ไม่ว่าในกรณีใดลองเรียกใช้ตัวตรวจจับรูทคิทเนื่องจากคุณอาจติดเชื้อได้ rootkเป็นชื่อที่น่าสงสัยเกินไปและการใช้รหัสผ่านที่ไม่ได้ปิดการใช้งานนั้นแย่กว่าอาการของม้าโทรจันที่พ่ายแพ้ อย่างไรก็ตามอย่าลบรายการเพียงแค่ใส่ตัวอักษรบางตัวลงในช่องรหัสผ่านเพื่อปิดการใช้งานเพราะมันจะทำให้คุณรู้ว่าคุณติดเชื้อได้อย่างไร

— Luis Colorado เมื่อ

@DarkHeart, Nope ฉันไม่กลัว ... แต่การมีrootkบัญชีที่ใช้รหัสผ่านที่ถูกต้อง (ไม่ได้ปิดใช้งาน) เป็นอาการที่รุนแรงของการใช้ประโยชน์จากเครือข่ายบางอย่างหรือการใช้บัญชี root ในทางที่ผิดโดยผู้ใช้ท้องถิ่น ตามที่เราใช้ในการพูดว่า: "จงเชื่อใน Holy Virgin และอย่าวิ่ง ... " โดยวิธีการที่คุณคิดว่าฉันเป็นผู้ชายอายุสิบหกปีที่ไม่มีประสบการณ์ในยูนิกซ์ / ลินุกซ์? :(

— หลุยส์โคโลราโด

อาจต้องการตรวจสอบว่า/bin/falseไฟล์ของแท้นั้นทำงานsudo dpkg -V coreutilsหรือไม่ หากมีการเปลี่ยนแปลงโปรดลองติดตั้งใหม่ทุกอย่าง Ubuntu 15.04 เป็น EOL เป็นเวลา 6 เดือนดังนั้นช่องโหว่ความปลอดภัยที่มีอยู่และในอนาคตจะไม่ได้รับการแก้ไขดังนั้นคุณอาจต้องการติดตั้งเวอร์ชั่นใหม่เช่น 16.04

— Mark Plotnick

คำตอบ:

กระบวนการและไฟล์เป็นเจ้าของโดยหมายเลข ID ผู้ใช้ไม่ใช่ชื่อผู้ใช้ rootkและrootมี UID เดียวกันดังนั้นทุกสิ่งที่เจ้าของเป็นเจ้าของก็เป็นของอีกฝ่าย จากคำอธิบายของคุณดูเหมือนuserdelว่าทุกกระบวนการรูท (UID 0) เป็นของrootkผู้ใช้

ตามนี้หน้าคน , userdelมีตัวเลือก-fที่จะบังคับให้ถอนบัญชีแม้ว่าจะมีกระบวนการที่ใช้งาน และuserdelอาจเป็นเพียงการลบrootkรายการ passwd และไดเรกทอรีภายในบ้านโดยไม่กระทบบัญชีรูทจริง

เพื่อความปลอดภัยฉันอาจโน้มน้าวให้แก้ไขไฟล์รหัสผ่านด้วยตนเองเพื่อลบรายการสำหรับrootkจากนั้นrootkโฮมไดเร็กตอรี่ของการลบด้วยมือ คุณอาจมีคำสั่งในระบบของคุณชื่อvipwซึ่งช่วยให้คุณแก้ไขได้อย่างปลอดภัย/etc/passwdในตัวแก้ไขข้อความ

— ราหุล
แหล่งที่มา

ขอบคุณที่ตอบ! ฉันรู้สึกโล่งใจที่ฉันคิดว่ามันเป็นแบ็คดอร์ลับๆ! ฉันทำตามที่คุณพูดฉันได้ลบรายการสำหรับรูตใน / etc / passwd แต่ไม่มีrootkโฮมได

— เร็กตอรี่

@Lulzsec: นี่ไม่ได้บอกเราว่าrootkบัญชีถูกสร้างขึ้นเป็นแบ็คดอร์ หมายความว่าสามารถลบออกได้อย่างง่ายดาย

— Julie Pelletier

ฉันคิดว่าคุณยังไม่ได้แก้ปัญหาอย่างสมบูรณ์ โปรดตรวจสอบความคิดเห็นเกี่ยวกับคำถามของคุณ

— Luis Colorado เมื่อ

ระวังอย่าให้ userdel -r ทำงานเหมือนที่อยู่ในไดเรกทอรีหลักของรูท/

— Jeff Schaller

@JeffSchaller แต่ถ้าคุณทำคุณก็แก้ไขปัญหาได้แล้ว ผู้ใช้ที่เป็นอันตรายไม่สามารถมองเห็นไฟล์ใด ๆ !

— kirkpatt

นั่นดูเหมือนจะเป็นแบ็คดอร์

ฉันจะพิจารณาระบบที่ถูกบุกรุกและทำให้ออกจากวงโคจรแม้ว่ามันจะเป็นไปได้ที่จะลบผู้ใช้ที่คุณไม่มีความคิดว่าสิ่งที่น่าประหลาดใจที่น่าสนใจบนเครื่อง (เช่น keylogger เพื่อรับรหัสผ่านของผู้ใช้สำหรับเว็บไซต์ต่างๆ)

— Simon Richter
แหล่งที่มา

ใส่ในไมโครเวฟและซื้อใหม่

— Aaron McMillin

อะไรที่ทำให้ดูเหมือนเป็นแบ็คดอร์? มันตรงกับโปรไฟล์รูทคิทที่รู้จักหรือไม่?

— Freiheit

@ Freiheit อืมผู้ใช้เพิ่มเติมที่มีสิทธิ์ใช้งานรูทนั้นเป็นคำจำกัดความของรูทคิท / แบ็คดอร์ เมื่อใครบางคนเข้าสู่ระบบในฐานะผู้ใช้พวกเขาก็สามารถทำอะไรบางอย่างในระบบ แม้ว่าบัญชีจะถูกสร้างขึ้นเพื่อจุดประสงค์บางอย่างที่ไร้เดียงสา (ฉันไม่รู้ว่ามันจะเป็นอะไร) แต่บางคนอาจค้นพบมันและใช้มันโดยเจตนาร้าย (อ่านได้จาก Sony DRM ที่ rootkitted Windows เป็นต้น)

— IMSoP

@kasperd: /etc/shadowรหัสผ่านที่ไม่พิการก็อยู่ใน การตั้งค่าเชลล์เป็น/bin/false(หากไม่ได้รับการดัดแปลง) อาจปิดใช้งานการเข้าสู่ระบบแบบโต้ตอบ แต่จะไม่ป้องกันบัญชีจากการใช้งานในวิธีอื่น ตัวอย่างเช่นsudo -sจะดูที่SHELLตัวแปรสภาวะแวดล้อมไม่ใช่/etc/passwdเพื่อพิจารณาว่าเชลล์ใดที่จะรัน

— Ben Voigt

@kasperd: อ่าโอเค อาจเป็นวิธีที่จะทำให้งานที่ดำเนินการเป็นระยะเป็นรูตจาก crontab ที่ซ่อนอยู่ (แม้ว่าตัวเลือกของ/โฮมไดเรกทอรีดูเหมือนจะไม่สอดคล้องกับที่)

— Ben Voigt