एमआईटी पाठ्यक्रम "कंप्यूटर सिस्टम सुरक्षा"। व्याख्यान 4: "विशेषाधिकार साझा करना," भाग 2

मैसाचुसेट्स इंस्टीट्यूट ऑफ टेक्नोलॉजी। व्याख्यान पाठ्यक्रम # 6.858। "कंप्यूटर सिस्टम की सुरक्षा।" निकोलाई ज़ेल्डोविच, जेम्स मिकेंस। 2014 साल

कंप्यूटर सिस्टम सुरक्षा सुरक्षित कंप्यूटर सिस्टम के विकास और कार्यान्वयन पर एक कोर्स है। व्याख्यान खतरे के मॉडल को कवर करते हैं, हमले जो सुरक्षा से समझौता करते हैं, और हाल के वैज्ञानिक कार्यों के आधार पर सुरक्षा तकनीक। विषयों में ऑपरेटिंग सिस्टम (OS) सुरक्षा, सुविधाएँ, सूचना प्रवाह प्रबंधन, भाषा सुरक्षा, नेटवर्क प्रोटोकॉल, हार्डवेयर सुरक्षा और वेब अनुप्रयोग सुरक्षा शामिल हैं।

व्याख्यान 1: "परिचय: खतरे के मॉडल" भाग 1 / भाग 2 / भाग 3
व्याख्यान 2: "हैकर हमलों का नियंत्रण" भाग 1 / भाग 2 / भाग 3
व्याख्यान 3: "बफर ओवरफ्लो: शोषण और संरक्षण" भाग 1 / भाग 2 / भाग 3
व्याख्यान 4: "पृथक्करण का पृथक्करण" भाग 1 / भाग 2 / भाग 3

तो इस सूची में हमारे पास और क्या था? प्रक्रियाओं। मेमोरी एक ऐसी चीज है जो प्रक्रिया के साथ-साथ होती है। इस प्रकार, यदि आप इस प्रक्रिया में नहीं हैं, तो आप इसकी स्मृति तक नहीं पहुँच सकते। वर्चुअल मेमोरी हमारे लिए इस अलगाव को पूरी तरह से बढ़ाती है। इसके अलावा, डिबगिंग तंत्र आपको एक अन्य प्रक्रिया की स्मृति में "पॉप" करने की अनुमति देता है, यदि आपके पास एक ही उपयोगकर्ता आईडी है

आगे हमारे पास नेटवर्क है। यूनिक्स में नेटवर्क ऊपर वर्णित मॉडल के अनुरूप नहीं है, आंशिक रूप से इस तथ्य के कारण कि यूनिक्स ऑपरेटिंग सिस्टम पहले विकसित हुआ था, और फिर एक नेटवर्क दिखाई दिया, जो जल्द ही लोकप्रिय हो गया। इसमें नियमों का थोड़ा अलग सेट है। इसलिए, जिन ऑपरेशनों की हमें वास्तव में देखभाल करने की आवश्यकता होती है, यदि आप नेटवर्क का प्रबंधन करते हैं, या किसी सर्वर के रूप में कार्य करते हैं तो कुछ पोर्ट को सुनकर किसी को नेटवर्क से कनेक्ट करने की आवश्यकता होती है। आपको इस कनेक्शन पर डेटा पढ़ने या लिखने या कच्चे पैकेट भेजने और प्राप्त करने की आवश्यकता हो सकती है।



इस प्रकार, यूनिक्स पर नेटवर्क ज्यादातर उपयोगकर्ता के लिए असंबंधित हैं। नियम यह हैं कि कोई भी किसी भी मशीन या किसी भी आईपी पते से जुड़ सकता है या कनेक्शन खोल सकता है। यदि आप एक पोर्ट पर सुनना चाहते हैं, तो इस मामले में एक अंतर है, जो यह है कि अधिकांश उपयोगकर्ताओं को 1024 के "मैजिक वैल्यू" के नीचे एक नंबर के साथ पोर्ट्स सुनने के लिए मना किया जाता है। सिद्धांत रूप में, आप ऐसे पोर्ट्स को सुन सकते हैं, लेकिन इसमें आपको कुछ करना चाहिए। यूआईडी = 0 के साथ "सुपर उपयोगकर्ता" नामक एक विशेष उपयोगकर्ता बनें।

सामान्य तौर पर, यूनिक्स में प्रशासक या सुपरयुसर की अवधारणा है, जिसे पहचानकर्ता uid = 0 द्वारा दर्शाया गया है, जो इन सभी चेक को लगभग बायपास कर सकता है, इसलिए यदि आप रूट अधिकारों के साथ काम करते हैं, तो आप फ़ाइलों को पढ़ और लिख सकते हैं, उनके अधिकारों को बदल सकते हैं। ऑपरेटिंग सिस्टम आपको ऐसा करने की अनुमति देगा क्योंकि यह सोचता है कि आपके पास सभी विशेषाधिकार होने चाहिए। और आपको नंबर <1024 के साथ बंदरगाहों पर सुनने के लिए वास्तव में ऐसे विशेषाधिकारों की आवश्यकता है। आप इस तरह के अजीब प्रतिबंध के बारे में क्या सोचते हैं?

श्रोता: यह विशिष्ट कनेक्शन के लिए विशिष्ट पोर्ट संख्याओं की पहचान करता है, उदाहरण के लिए, पोर्ट port० पर http के लिए।

प्रोफेसर: हाँ, डिफ़ॉल्ट रूप से HTTP प्रोटोकॉल पोर्ट 80 का उपयोग करता है। दूसरी ओर, अन्य सेवाएं 1024 से अधिक संख्या वाले पोर्ट का उपयोग कर सकती हैं, यह प्रतिबंध क्यों आवश्यक है? यहाँ क्या उपयोग है?

श्रोता: क्योंकि आप नहीं चाहते कि कोई गलती से आपके HTTP को सुने।

प्रोफेसर: हाँ। मुझे लगता है कि इसका कारण यह है कि आप एक ही मशीन पर कई उपयोगकर्ता इस्तेमाल करते थे। उन्होंने अपने लॉगिन के साथ लॉग इन किया, अपने एप्लिकेशन लॉन्च किए, इसलिए आप यह सुनिश्चित करना चाहते थे कि कुछ यादृच्छिक उपयोगकर्ता, जो कंप्यूटर में लॉग इन कर रहे हैं, वे उस पर चलने वाले वेब सर्वर को पकड़ नहीं पाएंगे। क्योंकि बाहर से जुड़ने वाले उपयोगकर्ता यह नहीं जानते हैं कि इस पोर्ट पर कौन काम करता है, और वे सिर्फ पोर्ट 80 से जुड़ते हैं। अगर मैं इस मशीन में प्रवेश करना चाहता हूं और अपना स्वयं का वेब सर्वर शुरू करना चाहता हूं, तो मैं बस सभी वेब सर्वर ट्रैफ़िक को यहां स्थानांतरित कर दूंगा यह कार। यह शायद बहुत अच्छी योजना नहीं है, लेकिन यह तरीका है कि यूनिक्स नेटवर्क सबसिस्टम यादृच्छिक उपयोगकर्ताओं को इन कम पोर्ट नंबरों पर चलने वाली ज्ञात सेवाओं को नियंत्रित करने से रोकता है। इस तरह के एक सीमा के लिए तर्क है।



इसके अलावा, कनेक्शन डेटा पढ़ने और लिखने के दृष्टिकोण से, यदि आपके पास एक विशिष्ट सॉकेट के लिए एक डिस्क्रिप्टर फ़ाइल है, तो यूनिक्स आपको इस टीसीपी या यूटीपी कनेक्शन में किसी भी डेटा को पढ़ने और लिखने की अनुमति देगा। कच्चे पैकेट भेजने में, यूनिक्स एक पागल की तरह व्यवहार करता है, इसलिए यह आपको नेटवर्क पर मनमाने पैकेट भेजने की अनुमति नहीं देगा। यह विशेष कनेक्शन के संदर्भ में होना चाहिए, जब तक कि आपके पास रूट न हो - सही और आप जो चाहें कर सकते हैं।

तो, एक दिलचस्प सवाल जो आप पूछ सकते हैं कि ये सभी उपयोगकर्ता कहाँ से आते हैं?

हम उपयोगकर्ता या समूह की प्रक्रियाओं के बारे में बात कर रहे हैं। जब आप अपने कंप्यूटर पर PS लॉन्च करते हैं, तो आप निश्चित रूप से विभिन्न यूआईडी मूल्यों के साथ प्रक्रियाओं की एक श्रृंखला देखेंगे। वे कहां से आए थे?

हमें इन सभी उपयोगकर्ता मूल्यों को लोड करने के लिए कुछ तंत्र की आवश्यकता है। यूनिक्स में इसके लिए कई सिस्टम कॉल डिज़ाइन किए गए हैं। इसलिए, इन पहचानकर्ता मानों को बूटस्ट्रैप करने के लिए, एक फ़ंक्शन है जिसे सेटिड (यूआईडी) कहा जाता है, इसलिए आप इस मूल्य पर कुछ वर्तमान प्रक्रिया के यूआईडी नंबर को असाइन कर सकते हैं। यह वास्तव में एक खतरनाक ऑपरेशन है, जैसा कि यूनिक्स परंपरा में बाकी सब कुछ है, क्योंकि आप केवल ऐसा कर सकते हैं यदि आपका यूआईडी = 0 । किसी भी मामले में, ऐसा होना चाहिए।

इस प्रकार, यदि आप रूट अधिकारों के साथ एक उपयोगकर्ता हैं और आपके पास uid = 0 है , तो आप setuid (uid) को कॉल कर सकते हैं और उपयोगकर्ता को किसी भी प्रक्रिया में स्विच कर सकते हैं। प्रक्रिया-संबंधित gid को इनिशियलाइज़ करने के लिए कुछ अन्य समान सिस्टम कॉल हैं: ये सेटगिड और सेटग्रुप हैं । इसलिए, ये सिस्टम कॉल आपको प्रक्रिया विशेषाधिकारों को कॉन्फ़िगर करने की अनुमति देता है।



तथ्य यह है कि जब आप यूनिक्स मशीन में लॉग इन करते हैं तो आपकी प्रक्रियाओं को सही एक्सेस अधिकार प्राप्त होता है क्योंकि आपके पास प्रक्रियाओं के समान आईडी नहीं होती है, क्योंकि सिस्टम को अभी तक पता नहीं है कि आप कौन हैं। इसके बजाय, यूनिक्स पर , एसएसएच सिक्योर शेल प्रोटोकॉल कंप्यूटर से कनेक्ट होने वाले किसी भी व्यक्ति के लिए प्रक्रिया शुरू करता है और उपयोगकर्ता को प्रमाणित करने की कोशिश करता है।

इस प्रकार, शुरू में यह लॉगिन प्रक्रिया यूआईडी = 0 के साथ शुरू होती है जैसे कि रूट अधिकारों वाले उपयोगकर्ता के लिए, और फिर, जब वह एक विशिष्ट उपयोगकर्ता नाम और पासवर्ड प्राप्त करता है, तो वह उन्हें अपने स्वयं के खातों के डेटाबेस में जांचता है। एक नियम के रूप में, यूनिक्स पर , यह डेटा दो फ़ाइलों में संग्रहीत है: / etc / पासवर्ड (ऐतिहासिक कारणों से, इस फ़ाइल में पासवर्ड अब संग्रहीत नहीं हैं), और / etc / छाया फ़ाइल में, जिसमें पासवर्ड संग्रहीत हैं। हालाँकि, / etc / पासवर्ड फ़ाइल में एक तालिका है जो सिस्टम में प्रत्येक उपयोगकर्ता नाम को पूर्णांक मान के रूप में प्रदर्शित करती है।

इस प्रकार, आपके उपयोगकर्ता नाम को इस / etc / पासवर्ड फ़ाइल में एक विशिष्ट पूर्णांक में मैप किया जाता है, और फिर लॉगिन प्रक्रिया यह जांचती है कि क्या आपका पासवर्ड इस फ़ाइल के अनुसार सही है। यदि यह आपका पूर्णांक यूआईडी पाता है, तो यह उस यूआईडी मूल्य के लिए सेट्यूड फ़ंक्शन सेट करता है और निष्पादन कमांड (/ बिन / श) के साथ शेल शुरू करता है। अब आप शेल के साथ बातचीत कर सकते हैं, लेकिन यह आपके यूआईडी के तहत काम करता है, इसलिए आप इस मशीन को आकस्मिक नुकसान नहीं पहुंचा पाएंगे।



श्रोता: क्या यह संभव है कि यूआईडी = ० के साथ एक नई प्रक्रिया शुरू की जाए?

प्रोफेसर: यदि आपके पास रूट विशेषाधिकार हैं, तो आप अपने आप को एक और यूआईडी तक सीमित कर सकते हैं, अपने अधिकार को कम कर सकते हैं, लेकिन किसी भी मामले में, आप केवल उसी यूआईडी के साथ एक प्रक्रिया बना सकते हैं। लेकिन ऐसा होता है कि विभिन्न कारणों से आप अपने विशेषाधिकारों को बढ़ाना चाहते हैं। मान लीजिए आपको एक पैकेज स्थापित करने की आवश्यकता है, जिसके लिए आपको रूट विशेषाधिकारों की आवश्यकता है ।

यूनिक्स पर विशेषाधिकार निर्धारित करने के दो तरीके हैं। हम पहले से ही उल्लेख किया है एक फ़ाइल विवरणक है। इसलिए यदि आप वास्तव में अपने विशेषाधिकारों को बढ़ाना चाहते हैं, तो आप किसी ऐसे व्यक्ति के साथ बात कर सकते हैं जो मूल अधिकारों के तहत काम करता है और उसे आपके लिए यह फ़ाइल खोलने के लिए कह सकता है। या आपको कुछ नए इंटरफ़ेस को स्थापित करने की आवश्यकता है, तो यह सहायक आपके लिए एक फ़ाइल खोलता है और fd हस्तांतरण का उपयोग करके आपके लिए एक फ़ाइल विवरणक लौटाता है। यह आपके विशेषाधिकारों को बढ़ाने का एक तरीका है, लेकिन यह असुविधाजनक है क्योंकि कुछ मामलों में बड़ी संख्या में विशेषाधिकारों के साथ चलने वाली प्रक्रियाएं हैं। इसके लिए, यूनिक्स में एक स्मार्ट लेकिन एक ही समय में समस्याग्रस्त तंत्र है जिसे "सेतुइड बायनेरिज़" कहा जाता है। यह तंत्र यूनिक्स फ़ाइल सिस्टम पर नियमित रूप से निष्पादन योग्य है, सिवाय जब आप सेट्यूड बाइनरी पर निष्पादन चलाते हैं, उदाहरण के लिए, स्टार्टअप पर अधिकांश मशीनों या सूडो पर / बिन / सु , या स्टार्टअप पर।

एक विशिष्ट यूनिक्स प्रणाली में सेट्युइड बायनेरिज़ का एक गुच्छा होता है। अंतर यह है कि जब आप इन बायनेरिज़ में से किसी एक को निष्पादित करते हैं, तो यह वास्तव में इस बाइनरी के मालिक को प्रक्रिया का उपयोगकर्ता नाम स्विच करता है। यह तंत्र अजीब लगता है जब आप इसे पहली बार देखते हैं। एक नियम के रूप में, इसका उपयोग करने के तरीके हैं कि यह "बाइनरी" सबसे अधिक संभावना है, एक मालिक है 0 से uid , क्योंकि आप वास्तव में अपने विशेषाधिकार बहाल करना चाहते हैं।



आप सुपरयुसर अधिकारों को पुनर्स्थापित करना चाहते हैं ताकि आप इस su कमांड को चला सकें, और कर्नेल, जब आप इस बाइनरी को निष्पादित करते हैं, तो प्रक्रिया uid को 0 पर स्विच कर देगी, जिससे यह प्रोग्राम अब कुछ विशेषाधिकार प्राप्त चीजें करेगा।

श्रोता: अगर आपके पास uid = ० है और आप इन सभी सेटिड बायनेरिज़ के uid को ० के अलावा किसी और चीज़ में बदल देते हैं, तो क्या आप अपने विशेषाधिकार बहाल कर सकते हैं?

प्रोफेसर: नहीं, बहुत सी प्रक्रियाएँ एक्सेस लेवल को कम करते समय विशेषाधिकारों को बहाल करने में सक्षम नहीं होंगी, इसलिए आप इस स्थान पर अटक सकते हैं। यह तंत्र यूआईडी = 0 से बंधा नहीं है। यूनिक्स प्रणाली के किसी भी उपयोगकर्ता की तरह, आप कोई भी बाइनरी फ़ाइल बना सकते हैं, एक प्रोग्राम बना सकते हैं, उसे संकलित कर सकते हैं, और इस सेतु को प्रोग्राम में ही सेट कर सकते हैं। यह आपसे संबंधित है, उपयोगकर्ता, आपकी उपयोगकर्ता आईडी। और इसका मतलब है कि जो कोई भी आपका प्रोग्राम चलाता है वह इस कोड को आपकी यूजर आईडी के साथ चलाएगा। क्या इससे कोई समस्या है? क्या करने की जरूरत है?

श्रोता: यानी अगर आपके आवेदन में कोई गलती थी, तो क्या कोई इसके साथ कुछ भी कर सकता है, आपके विशेषाधिकार के साथ काम कर सकता है?

प्रोफेसर: सही है, यह तब होता है जब मेरा आवेदन "छोटी गाड़ी" है, या यदि यह आपको सब कुछ चलाने की अनुमति देता है जो आप चाहते हैं। मान लीजिए कि मैं सिस्टम शेल को कॉपी कर सकता हूं और यह मेरे लिए सेटिउड बना सकता है, लेकिन फिर कोई भी इस शेल को अपने खाते के तहत चला सकता है। यह शायद कार्रवाई की सबसे अच्छी योजना नहीं है। लेकिन इस तरह के एक तंत्र एक समस्या पैदा नहीं करता है, क्योंकि केवल एक व्यक्ति जो एक द्विआधारी फ़ाइल पर सेट्यूड बिट सेट कर सकता है, वह इस फ़ाइल का मालिक है। आप, फ़ाइल के स्वामी के रूप में, यूआईडी विशेषाधिकार रखते हैं, इसलिए आप अपना खाता किसी अन्य व्यक्ति को हस्तांतरित कर सकते हैं, लेकिन यह दूसरा व्यक्ति आपके उपयोगकर्ता के साथ सेट्यूड बाइनरी नहीं बना पाएगा।

यह सेट बिट बिट इन अनुमति बिट्स के बगल में संग्रहीत किया जाता है, अर्थात् प्रत्येक इनोड में एक सेट बिट भी होता है जो कहता है कि क्या यह निष्पादन योग्य फ़ाइल चाहिए या यदि प्रोग्राम निष्पादन के दौरान मालिक को स्विच करना चाहिए या नहीं।



यह पता चला है कि यह सही ढंग से उपयोग किए जाने पर एक बहुत ही मुश्किल तंत्र है, और इसके लिए धन्यवाद, कर्नेल प्रोग्राम को सही तरीके से लागू करता है। वास्तव में, यह करना काफी आसान है, क्योंकि केवल एक चेक किया जाता है: यदि यह सेतुड बिट मौजूद है, तो प्रक्रिया यूआईडी पर स्विच हो जाती है। यह बहुत सरल है।

लेकिन इसे सुरक्षित रूप से उपयोग करना काफी मुश्किल है, क्योंकि, जैसा कि अभी संकेत दिया गया है, यदि इस कार्यक्रम में त्रुटियां हैं या कुछ अप्रत्याशित है, तो आपको यूआईडी = 0 या किसी अन्य यूआईडी के तहत मनमानी चीजें करने की क्षमता मिलती है। यूनिक्स पर, जब आप एक कार्यक्रम चलाते हैं , तो आपको अपनी मूल प्रक्रिया से बहुत सी चीजें विरासत में मिलती हैं।

उदाहरण के लिए, आप बायनेरिज़ को सेट करने के लिए पर्यावरण चर पास कर सकते हैं। तथ्य यह है कि यूनिक्स पर आप पर्यावरण चर को सेट करके प्रक्रिया के लिए उपयोग करने के लिए किस साझा पुस्तकालय को निर्दिष्ट कर सकते हैं, और सेट्यूड बायनेरिज़ इन पर्यावरण चर को फ़िल्टर करने के बारे में परवाह नहीं करते हैं।

उदाहरण के लिए, आप बिन / सु को चला सकते हैं, लेकिन प्रिंटफ फ़ंक्शन के लिए साझा पुस्तकालयों का उपयोग कर सकते हैं, इसलिए आपका प्रिंटफ़ तब शुरू होगा जब बिन / सु कुछ प्रिंट करता है, और आप मुद्रण के बजाय शेल चला सकते हैं।

कई सूक्ष्मताएं हैं जो आपको प्रोग्राम के अविश्वास के बारे में सही ढंग से समझना चाहिए कि उपयोगकर्ता डेटा में प्रवेश करता है। क्योंकि आप आमतौर पर उपयोगकर्ता इनपुट पर भरोसा करते हैं, setuid कभी भी एक पूरे यूनिक्स सिस्टम का सबसे सुरक्षित हिस्सा नहीं रहा है। इस बारे में प्रश्न हैं?

श्रोता: समूह में या केवल उपयोगकर्ता के लिए भी सेतुबंध लागू होता है?

प्रोफेसर: सेट्युड बिट के लिए एक सममित बिट सममित है, जिसे आप भी सेट कर सकते हैं। यदि फ़ाइल में एक विशिष्ट जीआईडी ​​है और यह सेटगिट बिट प्रोग्राम शुरू होने पर सेट होता है, तो आपको यह मिल जाएगा।

सेटगिड विशेष रूप से उपयोग नहीं किया जाता है, लेकिन उन मामलों में उपयोगी हो सकता है जहां आप बहुत विशिष्ट विशेषाधिकार प्रदान करना चाहते हैं। उदाहरण के लिए, बिन / सु को शायद कई विशेषाधिकारों की आवश्यकता है, लेकिन शायद कुछ कार्यक्रम हैं जिन्हें एक विशेष लॉग फ़ाइल के लिए कुछ लिखने के लिए, कुछ अतिरिक्त विशेषाधिकारों की आवश्यकता है। इसलिए, आप शायद उसे एक निश्चित समूह प्रदान करना चाहते हैं और उसके लिए एक लॉग फाइल बनाना चाहते हैं जो इस समूह द्वारा लिखित है। तो यहां तक ​​कि अगर कार्यक्रम "छोटी गाड़ी" है, तो आप इस समूह के अलावा कुछ भी नहीं खो देंगे। यह एक तंत्र के रूप में उपयोगी है कि किसी कारण से अक्सर उपयोग नहीं किया जाता है, क्योंकि आखिरकार, लोगों को मूल अधिकारों का अधिक उपयोग करना चाहिए।

श्रोता: क्या ऐसे प्रतिबंध हैं जो पहुँच को बदल सकते हैं?

प्रोफेसर: हाँ। विभिन्न यूनिक्स कार्यान्वयन के लिए इसके अलग-अलग चेक हैं। सामान्य नियम यह है कि केवल रूट ही फाइल के मालिक को बदल सकता है, क्योंकि आप ऐसी फाइलें नहीं बनाना चाहते जो किसी और की हों, और निश्चित रूप से आप अन्य लोगों की फाइलों को उपयुक्त नहीं बनाना चाहते हैं। तो अगर आपका uid 0 नहीं है, तो आप फंस गए हैं। आप किसी भी फ़ाइल का स्वामित्व नहीं बदल सकते। यदि आपका uid = 0 है , तो आपके पास रूट विशेषाधिकार हैं और आप स्वामी को किसी को भी बदल सकते हैं। यदि आपके पास एक बाइनरी सेतुइड है और आप एक यूआईडी से दूसरे में स्विच करते हैं, तो यह कुछ मुश्किलें हैं, लेकिन यह मूल रूप से आप फ़ाइल के मालिक को नहीं बदल सकते हैं यदि आपके पास रूट विशेषाधिकार नहीं हैं।

सभी खातों के अनुसार, यह थोड़ा पुराना सिस्टम है। आप शायद ऊपर वर्णित प्रक्रियाओं को सरल बनाने के कई तरीकों की कल्पना कर सकते हैं, लेकिन वास्तव में, अधिकांश उन्नत सिस्टम इस तरह दिखते हैं क्योंकि वे समय के साथ विकसित होते हैं। लेकिन आप इन तंत्रों को "सैंडबॉक्स" के रूप में पूरी तरह से उपयोग कर सकते हैं।

ये कुछ प्रकार के मूल यूनिक्स सिद्धांत हैं, जो लगभग हर यूनिक्स जैसे ऑपरेटिंग सिस्टम में दिखाई देते हैं: मैक ओएस एक्स , लिनक्स , फ्रीबीएसडी , सोलारिस , अगर कोई और इसका उपयोग करता है, और इसी तरह। लेकिन इनमें से प्रत्येक प्रणाली में अधिक परिष्कृत तंत्र हैं जिनका आप उपयोग कर सकते हैं। उदाहरण के लिए, लिनक्स पर "सैंडबॉक्स" सेट कॉम्प है , मैक ओएस एक्स "सैंडबॉक्स" सीटबेल्ट का उपयोग करता है। अगले हफ्ते मैं आपको हर यूनिक्स- आधारित प्रणाली पर उपलब्ध सैंडबॉक्स का उदाहरण दूंगा।

इसलिए, आखिरी तंत्र में से एक, जिसे हम OKWS में गोता लगाने से पहले विचार करेंगे, बताते हैं कि आपको सेटियुइड बायनेरिज़ से कैसे निपटना है और यह दर्शाता है कि आप मौजूदा सुरक्षा छेद से खुद को कैसे बचा सकते हैं। समस्या यह है कि आप अनिवार्य रूप से आपके सिस्टम पर कुछ सेट्युइड बायनेरिज़ होंगे, जैसे / बिन / सु , या सुडो , या कुछ और, और यह संभावना है कि आपके कार्यक्रमों में त्रुटियां होंगी। इस वजह से, कोई व्यक्ति सेट्यूइड बाइनरी को निष्पादित करने में सक्षम होगा और प्रक्रिया रूट एक्सेस प्राप्त करने में सक्षम होगी, जिसे आप अनुमति नहीं देना चाहते हैं।



यूनिक्स तंत्र, जिसका उपयोग अक्सर सेट्यूड बायनेरिज़ का उपयोग करके संभावित रूप से दुर्भावनापूर्ण प्रक्रिया के निष्पादन को रोकने के लिए किया जाता है, फ़ाइल सिस्टम नेमस्पेस का उपयोग इसे चेरोट सिस्टम कॉल का उपयोग करके बदलने के लिए किया जाता है, रूट निर्देशिका को बदलने का संचालन। OKWS , तेज और सुरक्षित वेब सेवाओं को बनाने में माहिर एक वेब सर्वर के रूप में, यह काफी व्यापक रूप से उपयोग करता है।



तो, यूनिक्स पर , आप एक विशिष्ट निर्देशिका में चिरोट को निष्पादित कर सकते हैं, इसलिए शायद आप चरोट को भी निष्पादित कर सकते हैं ("/ foo") ।

चेरोट क्या करता है, इसके लिए 2 स्पष्टीकरण हैं। पहला एक सहज ज्ञान युक्त है, इसका मतलब है कि चेरोट चलाने के बाद, मूल निर्देशिका या स्लैश के पीछे स्थित निर्देशिका मूल रूप से चूरोट कहे जाने से पहले इस्तेमाल किए गए / फू के बराबर है। यह आपके / foo के नीचे नामस्थान को सीमित करने जैसा लगता है। इसलिए, यदि आपके पास एक फ़ाइल है जिसे / foo / x कहा जाता है, तो चेरोट को कॉल करने के बाद , आप इस फाइल को केवल / x खोलकर प्राप्त कर सकते हैं। तो बस अपने नामस्थान को एक उपनिर्देशिका तक सीमित करें। यहाँ सहज संस्करण क्या है।



बेशक, सुरक्षा में, यह सहज संस्करण नहीं है जो मायने रखता है, लेकिन कर्नेल इस सिस्टम कॉल के साथ वास्तव में क्या करता है? और यह मूल रूप से दो काम करता है। सबसे पहले, यह इस स्लैश के मूल्य को बदल देता है, इसलिए जब भी आप एक्सेस करते हैं या जब आप स्लैश के साथ डायरेक्टरी नाम को शुरू करते हैं, तो कर्नेल में कोई भी फ़ाइल शामिल होती है जिसे आपने चेरोट ऑपरेशन के साथ प्रदान किया था। हमारे उदाहरण में, यह फ़ाइल / foo है जिसे चेरोट कहा जाता है, इससे पहले, हमें वह / = / foo मिलता है।



अगली चीज जो कर्नेल करने की कोशिश करेगी, वह आपको आपके / अगर आप /../ से "भागने" में सक्षम होने से बचाती है । क्योंकि यूनिक्स पर , मैं आपको मुझे देने के लिए कह सकता हूं, उदाहरण के लिए, /../etc/password । इसलिए अगर मैंने इस लाइन को इस तरह से सप्लीमेंट किया: /foo/../etc/password , तो यह अच्छा नहीं होगा, क्योंकि मैं बस / foo से बाहर निकल सकता हूं और पाने के लिए / etc / पासवर्ड पर जा सकता हूं।

दूसरी बात जो कर्नेल यूनिक्स सिस्टम कॉल के साथ करता है वह यह है कि जब आप इस विशेष प्रक्रिया के लिए चेरोट कहते हैं , तो यह इस निर्देशिका में /../ का मूल्यांकन करने के तरीके को बदल देता है । इसलिए, यह /../ को संशोधित करता है ताकि / foo खुद को इंगित करे। इस प्रकार, यह आपको "भागने" की अनुमति नहीं देता है, और यह परिवर्तन केवल इस प्रक्रिया पर लागू होता है और बाकी को प्रभावित नहीं करता है। आपके विचार में कि इसे कैसे लागू किया जाता है का उपयोग करते हुए चेरोट पर्यावरण से "बच" कैसे करें?

दिलचस्प बात यह है कि कर्नेल केवल एक ही चेरोट डायरेक्टरी को मॉनिटर करता है, इसलिए आप शायद चेरोट = (/ foo) ऑपरेशन कर सकते हैं, लेकिन आप इस जगह पर अटक जाएंगे। तो आप / etc / password प्राप्त करना चाहते हैं , लेकिन यह कैसे करें? आप अभी (* / *) टाइप करके रूट डायरेक्टरी खोल सकते हैं। यह आपको एक फ़ाइल डिस्क्रिप्टर देगा जो यह बताता है कि / foo क्या है । फिर आप चेरोट को फिर से कॉल कर सकते हैं और चिरोट को निष्पादित कर सकते हैं (`/ बार) ।



, : root /foo , /foo/bar /../ /foo / bar/..



, /foo . fchdir (fd) (*/*) , chdir (..) .





/foo , /../ . /foo , root , .

, , . . Unix root- chroot , chroot . , Unix uid = 0 , chroot . . , , chroot , userid . , Unix , , root , .

, , , . chroot — . .

: , inod , ?

: ! , , , : « inode 23», - hroot . , Unix inode inode , , , root-.

, , , OKWS . , OKWS .

, -, , - , . , , httpd , , Apache .

userid www /etc/password . , , SSL , PHP , . , , , MySQL , . MySQL . MySQL , , , .



, , , MySQL , , .

, , , , . , , , अपाचे , या एसएसएल में , या शायद एप्लिकेशन कोड में या पीएचपी दुभाषिया में । और चूंकि त्रुटियां हैं, तो आप उन्हें एप्लिकेशन की संपूर्ण सामग्री प्राप्त करने के लिए उपयोग कर सकते हैं।

52:30 मिनट

निरंतरता:

एमआईटी पाठ्यक्रम "कंप्यूटर सिस्टम सुरक्षा"। व्याख्यान 4: "विशेषाधिकार साझा करना," भाग 2


पाठ्यक्रम का पूरा संस्करण यहां उपलब्ध है ।

हमारे साथ बने रहने के लिए धन्यवाद। क्या आप हमारे लेख पसंद करते हैं? अधिक दिलचस्प सामग्री देखना चाहते हैं? एक आदेश रखकर या अपने दोस्तों को इसकी अनुशंसा करके हमें समर्थन दें, एंट्री-लेवल सर्वरों के अनूठे एनालॉग पर हैबर उपयोगकर्ताओं के लिए 30% छूट जो हमने आपके लिए ईजाद की है: VPS (KVM) E5-2650 v4 (6 कोर) 10GB DDR4 240GB SSD 1Gbps से पूरा सच $ 20 या सर्वर को कैसे विभाजित करें? (विकल्प RAID1 और RAID10 के साथ उपलब्ध हैं, 24 कोर तक और 40GB DDR4 तक)।

डेल R730xd 2 बार सस्ता? केवल हमारे पास 2 x Intel Dodeca-Core Xeon E5-2650v4 128GB DDR4 6x480GB SSD 1Gbps 100 टीवी 249 डॉलर में नीदरलैंड और यूएसए से है! इन्फ्रास्ट्रक्चर Bldg का निर्माण कैसे करें के बारे में पढ़ें । एक पैसा के लिए 9,000 यूरो की लागत डेल R730xd E5-2650 v4 सर्वर का उपयोग कर वर्ग?