การตรวจสอบความถูกต้องของไบนารีคำสั่งก่อนดำเนินการ

มีวิธีการตรวจสอบสิ่งที่คุณกำลังดำเนินการจากสคริปต์ทุบตีจริง ๆ ?

บอกว่าทุบตีสคริปต์ของคุณจะถูกเรียกหลายคำสั่ง (ตัวอย่างเช่น: tar, mail, scp, mysqldump) และคุณยินดีที่จะให้แน่ใจว่าtarเป็นจริงจริงtarซึ่งเป็นที่ระบุโดยrootผู้ใช้เป็นไฟล์และไดเรกทอรีแม่เจ้าของและเป็นคนเดียวที่มีสิทธิ์ในการเขียน และไม่ได้/tmp/surprise/tarมีwww-dataหรือapache2เป็นเจ้าของ

แน่ใจว่าฉันรู้เกี่ยวกับPATHสภาพแวดล้อมและฉันอยากรู้ว่านี้สามารถตรวจสอบเพิ่มเติมจากสคริปต์ทุบตีทำงานและถ้าเป็นเช่นนั้นได้อย่างไร

ตัวอย่าง: (หลอกรหัส)

tarfile=$(which tar)
isroot=$(ls -l "$tarfile") | grep "root root"
#and so on...

แทนการตรวจสอบความถูกต้องของไบนารีที่คุณกำลังจะรันคุณสามารถรันไบนารีที่ถูกต้องตั้งแต่เริ่มต้น เช่นถ้าคุณต้องการให้แน่ใจว่าคุณจะไม่ทำงาน/tmp/surprise/tarให้เรียกใช้/usr/bin/tarในสคริปต์ของคุณ หรือตั้งค่าของคุณ$PATHเป็นค่าสติก่อนที่จะเรียกใช้อะไร

หากคุณไม่เชื่อถือไฟล์ใน/usr/bin/และไดเรกทอรีระบบอื่น ๆคุณจะไม่สามารถมั่นใจได้ ในตัวอย่างของคุณกำลังตรวจสอบเจ้าของด้วยlsแต่อย่างไรคุณรู้ว่าคุณสามารถไว้วางใจls? อาร์กิวเมนต์เช่นเดียวกับการแก้ปัญหาอื่น ๆ เช่นและmd5sumstrace

ในกรณีที่มีความเชื่อมั่นสูงในความสมบูรณ์ของระบบจะต้องแก้ปัญหาเฉพาะเช่นIMAถูกนำมาใช้ แต่นี่ไม่ใช่สิ่งที่คุณสามารถใช้จากสคริปต์ได้: ระบบทั้งหมดจะต้องตั้งค่าในลักษณะพิเศษโดยมีแนวคิดของไฟล์ที่ไม่เปลี่ยนรูปแบบ

หากผู้บุกรุกเข้าถึงระบบของคุณและสามารถปรับเปลี่ยนของคุณ$PATH(ซึ่งไม่ควรรวม/tmpอยู่ในสถานการณ์ใด ๆ ) แสดงว่าสายเกินไปที่จะเริ่มกังวลเกี่ยวกับการเป็นเจ้าของไฟล์ปฏิบัติการ

แต่คุณควรอ่านเกี่ยวกับวิธีการจัดการกับการบุกรุก

ดีกว่าที่จะมีสมาธิกับการหลีกเลี่ยงการบุกรุกโดยสิ้นเชิง

หากคุณมีระบบที่สิ่งต่าง ๆ เหล่านี้มีความสำคัญก็อาจเป็นความคิดที่ดีที่จะแยกส่วนต่าง ๆ ของมันที่จะต้องเป็นสาธารณะจากส่วนที่ต้องเป็นส่วนตัวเช่นเดียวกับการตรวจสอบรูปแบบของการสื่อสาร ระหว่างสิ่งเหล่านี้

มีความเป็นไปได้ที่จะตรวจสอบmd5sumไฟล์ ดังนั้นในระบบที่ใช้aptการจัดการแพ็คเกจ - ในกรณีของฉัน Ubuntu 16.04 - มีไฟล์/var/lib/dpkg/info/tar.md5sumsที่เก็บ md5 จำนวนรวมของไฟล์ทั้งหมดที่มาจากtarการติดตั้ง ดังนั้นคุณสามารถเขียนคำสั่ง if ง่าย ๆ ที่ตรวจสอบว่าผลลัพธ์ของการmd5sum /bin/tarจับคู่ที่อยู่ในไฟล์นั้น

แน่นอนว่าไฟล์เองไม่ได้ถูกดัดแปลง หลักสูตรนี้สามารถเกิดขึ้นได้เมื่อผู้โจมตีมีการเข้าถึงรูท / sudo ซึ่งการเดิมพันทั้งหมดจะปิด

ใช่มีวิธีการ: typebuiltin ตรงกันข้ามกับwhichคำสั่งที่ค้นหาเฉพาะใน PATH ของคุณtypeจะบอกคุณว่าชื่อคำสั่งนั้นเป็นคำหลักที่สงวนไว้จริง ๆ แล้วคือ builtin, alias, alias, function หรือไฟล์ดิสก์

$ type -t foobar || echo "Not found"
Not found

$ type -t echo
builtin

$ enable -n echo; type -t echo; type -p echo
file
/usr/bin/echo

$ echo() { printf "(echoing) %s\n" "$*"; }; type -t echo
function

$ alias echo="/bin/echo 'I say: ' "; type -t echo
alias

นอกจากนี้type -aจะให้ผู้สมัครทุกคนสำหรับคำสั่งของคุณ (จากตัวเลือกแรกถึงตัวเลือกสุดท้าย):

$ type -a echo
echo is aliased to `/bin/echo 'I say: ' '
echo is a function
echo () 
{ 
    printf "(echoing) %s\n" "$*"
}
echo is a shell builtin
echo is /usr/local/bin/echo
echo is /bin/echo

สุดท้ายหากคุณกังวลเกี่ยวกับไบนารีในดิสก์ของคุณคุณสามารถใช้type -Paเพื่อรับไบนารีทั้งหมดใน PATH ของคุณ (ลำดับเดียวกันตามด้านบน):

$ type -Pa tar
/home/me/bin/tar                <= oh oh, is this normal?
/bin/tar

ที่กล่าวว่าtypeเพียงอย่างเดียวจะไม่บอกคุณว่าคำสั่งจะถูกเรียกในท้ายที่สุด ตัวอย่างเช่นถ้าคุณtarเป็นนามแฝงที่เรียกไบนารี (เช่นalias tar="/tmp/tar") แล้วจะบอกคุณนี้เป็นtypealias

straceคุณสามารถตรวจสอบว่าคำสั่งว่าถูกดำเนินการโดยสคริปต์โดยใช้ ตัวอย่างเช่น:

strace -f -e execve ./script.sh

ด้วยสคริปต์ต่อไปนี้:

#!/bin/bash
touch testfile.txt
echo "Hello" >> testfile.txt
cat testfile.txt
rm testfile.txt

straceจะบอกคุณเส้นทางที่แน่นอนไปยังคำสั่งดำเนินการเมื่อใช้กับ-e execveพารามิเตอร์:

execve("./script.sh", ["./script.sh"], [/* 69 vars */]) = 0 
Process 8524 attached
[pid  8524] execve("/usr/bin/touch", ["touch", "testfile.txt"], [/* 68 vars */]) = 0 
[pid  8524] +++ exited with 0 +++
--- SIGCHLD {si_signo=SIGCHLD, si_code=CLD_EXITED, si_pid=8524, si_status=0, si_utime=0, si_stime=0} --- 
Process 8525 attached [pid > 8525] execve("/bin/cat", ["cat", "testfile.txt"], [/* 68 vars */]) = 0
Hello [pid  8525] +++ exited with 0 +++
--- SIGCHLD {si_signo=SIGCHLD, si_code=CLD_EXITED, si_pid=8525, si_status=0, si_utime=0, si_stime=0} --- 
Process 8526 attached [pid > 8526] execve("/bin/rm", ["rm", "testfile.txt"], [/* 68 vars */]) = 0
[pid  8526] +++ exited with 0 +++
--- SIGCHLD {si_signo=SIGCHLD, si_code=CLD_EXITED, si_pid=8526, si_status=0, si_utime=0, si_stime=0} ---
+++ exited with 0 +++

พารามิเตอร์ (จาก strace man):

-f: ติดตามกระบวนการ child ตามที่สร้างขึ้นโดยกระบวนการที่ติดตามอยู่ในปัจจุบันอันเป็นผลมาจากการเรียกระบบ fork (2), vfork (2) และ clone (2) โปรดทราบว่า-p PID -fจะแนบเธรดกระบวนการ PID ทั้งหมดหากเป็นแบบมัลติเธรดไม่ใช่เฉพาะเธรดที่มี thread_id = PID

-e trace=file: ติดตามการเรียกระบบทั้งหมดที่ใช้ชื่อไฟล์เป็นอาร์กิวเมนต์ คุณสามารถคิดได้ว่านี่เป็นตัวย่อ-e trace=open,stat,chmod,unlink,...ที่มีประโยชน์ในการดูว่าไฟล์ที่กระบวนการกำลังอ้างถึงคืออะไร นอกจากนี้การใช้ตัวย่อจะช่วยให้มั่นใจได้ว่าคุณจะไม่ลืมที่จะรวมการโทรเช่น lstat ไว้ในรายการ

Linux os ขึ้นอยู่กับไฟล์และคำสั่งมากมายที่ดำเนินการบน linux อาจแก้ไขการเปลี่ยนแปลงบางอย่างของไฟล์ที่อยู่ในเครื่องของคุณ เพราะนั่นอาจเป็นทางออกที่ดีที่สุดสำหรับปัญหาของคุณ คุณสามารถทดสอบคำสั่งของคุณสำหรับการเปลี่ยนแปลงใด ๆ ในระบบไฟล์ก่อนที่จะดำเนินการ

มีคำสั่ง 'strace' ซึ่งจะถอดรหัสคำสั่งของคุณเป็นส่วน ๆ ...

หากคุณต้องการเจาะลึกคุณต้องการเช็คเอาต์ decompilers สำหรับสคริปต์ที่จะดำเนินการ คุณต้องตรวจสอบการตีความแอสเซมเบลอร์ของคำสั่งนั้น objdump -dสำหรับทุบตีมี สคริปต์ช่องเก็บของ Linux ส่วนใหญ่สร้างด้วยCภาษาการเขียนโปรแกรมดังนั้นให้ใช้ตัวCถอดรหัสที่ดี