Newsgroup: it.comp.sicurezza.unix
Titolo: shell, diritti e irc

La situazione e' questa: mi collego ad internet con il mio account (buttha) e con questo faccio tutto.
"Tutto" include anche collegamenti in irc. Visto che ho imparato a diffidare dei client irc, la paura e' questa: e se ci fosse qualche security hole nel client irc? Allora, se per es., questo buco permettesse di leggere e scrivere file, l'intruso avrebbe i privilegi dell'utente che esegue il client. In questo caso, l'intruso avrebbe i diritti del mio utente buttha.
Ipotesi (poi ditemi quanto plausibile): e se creassi un nuovo account, per es. "chat", poi facessi login con l'account buttha, per poi eseguire X e, in una finestra, aprire una shell e dare il comando:
su chat
ed eseguire il client irc.
In tal caso, il client girerebbe con i privilegi di "chat"?
Quindi, i diritti sarebbero quelli dell'utente "chat"?
ciao
Buttha
-- 
* Per rispondere in email rimuovere una i dall'indirizzo
* RSA fingerprint: 7772 5C72 7392 538B  34B8 A189 13BC 867A
  DH/DSS  "      : 3CAD 35F0 1D5D F46B 7D95  33F8 5784 B463 A328 7B05
* 
http://members.xoom.it/buttha/

Buttha
Caspita! Sei davvero terrorizzato!
Se vuoi essere cattivissimo puoi fare in modo che la shell utilizzabile
dall'utente "chat" sia il client che usi per andare in irc.
In maniera artigianale, apri il file /etc/passwd e modifichi il percorso
della shell con quello del client irc (es. da /bin/bash a /usr/bin/BitchX).
A quel punto dal tuo utente buttha potresti digitare: su chat
dare la password e trovarti direttamente ad usare il client di chat.
Ovviamente (visti i tuoi timori), vincolerai l'uso della directory solo
all'utente chat. Se poi sei terrorizzatissimo allora farai una copia del
client irc nella home dell'utente chat e darai a questo file gli attributi
di eseguibilita' solo a lui (ovviamente modificherai la shell di partenza
mettendo il percorso del client irc eseguibile solo da chat).
Ti ricordo che se per caso vuoi usare client irc per X (come kvirc o xchat o
tkirc ecc...), dovrai dare il comando 'xhost +' prima di dare il comando 'su
chat'
Comunque mi sembra che sei troppo spaventato.
Ciao ciao



 chat'
visto che e' "terrorizzato" forse sarebbe meglio dare 'xhost +
localhost'.
 
-- 
 +-------------------------------------------+ 
 |        Enrico Bodo  -   PhD student       |
 |      University of Rome "La Sapienza"     |
 |          Department of Chemistry          | 
 +-------------------------------------------+

 dall'utente "chat" sia il client che usi per andare in irc.
Il tuo Autluk e' scatenato... e' il secondo post identico...
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

Il tuo Autluk e' scatenato... e' il secondo post identico...
Non ricordarmelo ... preferirei usare altro ... ma l'ufficio offre solo
questo :(

 Ciao ciao
ciao e grazie delle dritte!


 Quindi, i diritti sarebbero quelli dell'utente "chat"?
yess, perň se chiudi l'xterm padre, killi anche il figlio
Ciao
Lone
ps. quando č che ritorni su IDLM ??

mettendo il percorso del client irc eseguibile solo da chat).
Idem...
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]    | Be happy.
Marco | What was you username again? <clickety clickety click> | Be root.
      | Linux: be your own luser!
      | Visitate #linux-it su 
irc.openprojects.net

 wrote:
~Quindi, i diritti sarebbero quelli dell'utente "chat"?
credo proprio di si
~ciao
~Buttha
ciao 
fritz :)

libero di dire "e allora non accendere il computer" :) )
Allora prova magari anche con chroot (paranoia totale!).
-- 
  _      ___ ____
 | | /| / (_)_  /
 | |/ |/ / / / /_	ANTI-SPAM WARNING:
 |__/|__/_/ /___/	the e-mail address is fake.
 
Speak to me the pain you feel. (Queensryche)

 eseguire il client in una prigione fatta con chroot.
1) ho fatto man chroot e info chroot, ma chroot continua a non funzionarmi:
se faccio chroot /home/chat, che dovrebbe vincolare l'esecuzione della shell a quella dir, mi dice 
chroot: cannot execute /bin/bash: No such file or directory
e cosi per qualsiasi comando del tipo
chroot /home/chat comando
2) se chroot mi funzionasse, quello che dovrei fare e' aggiungere ad /etc/passwd una riga del tipo:
chat:x:501:501::/home/chat:chroot /home/chat
?
ciao


 chroot /home/chat comando
e ti credo che non funziona... ho dato un'occhiata ad Appunti Linux, che spiega un po' meglio la faccenda.
Praticamente, in /home/chat dovrei creare un "ambiente" completo, che permetta all'utente chat di lavorare, facendo a meno di tutto quello che e' al di fuori della sua home directory.
Quindi, se volessi farlo lavorare con bash, dovrei mettere tutti i file necessari, e se volessi farlo lavorare con kvirc, tutti i file di kvirc e relative librerie necessarie.
Ho ben compreso?
Quindi, un comando del tipo
chroot /home/chat /bin/bash
chiamerebbe il file /home/chat/bin/bash
right?
A questo punto la faccenda si fa piu' laboriosa di quanto previsto.
Quindi passo alla domanda di riserva:
nell'ipotesi di non lavorare con chroot, ma con l'utente chat semplice, la shell che un malintenzionato riuscirebbe ad ottenere grazie al mio client bucato, sarebbe, cmq, una shell con i diritti di chat? (almeno inizialmente, cioe' trascurando possibili buchi che poi lo portino a diventare root).


 wrote in message mk4ku7...@127.0.0.1...

ciao
NT ;)

chat:x:501:501::/home/chat:chroot /home/chat
No, solo root puo` eseguire chroot.


 ps. quando è che ritorni su IDLM ??
ti ho risposto in mail. Fammi sapere se ti e' arrivata, pero', che con tin + sendmail non sono ancora pratico :)


, scrisse:
[snip]
grazie delle spiegazioni


 chroot(2), cambia UID ed esegue il client.
Rendendo tutto automatico, molto meglio...


subdirs, o no?
Si.


 [snip]
grazie del consiglio


 credo proprio di si
scusate l'ignoranza estrema .... pero' ...
se io faccio su <qualcuno> e poi digito 
exit ritorno all'utente che aveva dato il su ..
quindi dico .. se il tipo che ottiene la shell
mediante il buco del client irc con i privilegi
ristretti dell'utente chat, digita exit .. che
succede ? :))> 
-- 
  ---------  M o o n  C h i l d  ---------
    	      UIN-ICQ: 3634753	
     Togliere MOON per l' esatta e-mail	
  ----------------------------------------
					  --

 succede ? :))> 
non sono il piu' attendibile (essendo relativamente newbie di *nix), cmq
credo che il problema stia nel fatto che la shell che l'attaccante ottiene,
non e' la stessa shell da cui si e' fatto il su.
Nel mio caso e' obbligatoriamente cosi', visto che la shell del mio utente
chat e' il client irc.
