Czy globalne ułożenie widelcowej bomby uniemożliwiłoby jej wykonanie?

Gdybyś miał ustawić globalnie

alias ':(){ :|:& };:'='echo fork bomb averted'

czy byłaby to skuteczna strategia bezpieczeństwa pozwalająca uniknąć egzekucji bomby widelcowej Bash, czy też byłby sposób na jej wykonanie?

Przypuszczam, że pojawia się pytanie: czy istnieje sposób na wykonanie polecenia, gdy jest ono powiązane z czymś innym?

Dwa , nie trzy , ... Wśród głównych przeszkód, które są:

1. To nie jest poprawna nazwa dla aliasu. Podręcznik online Bash :

   Znaki ... i dowolne z metaznaków powłoki lub znaki cytowania wymienione powyżej mogą nie pojawiać się w nazwie aliasu.

   (, ), &, |I spacje są w Bash 4.4.

2. Ten konkretny ciąg nie jest jedynym sposobem na napisanie bomby widelcowej w skorupce, znanym tylko dlatego, że wygląda niejasno. Na przykład nie ma potrzeby wywoływania funkcji :zamiast czegoś, co faktycznie składa się z liter.

3. Jeśli możesz ustawić alias, użytkownik może rozbroić alias, obejść go, usuwając nazwę aliasu w wierszu poleceń, lub całkowicie wyłączyć aliasy, prawdopodobnie uruchamiając funkcję w skrypcie (Bash nie rozwija aliasów w nieinteraktywnych powłokach) .

4. Nawet jeśli pocisk jest wystarczająco ograniczony, aby zatrzymać wszystkie wersje bomby widełkowej, system ogólnego przeznaczenia będzie miał inne programowalne narzędzia, które mogą się powtarzać i rozwidlać podprocesy. Masz kompilator Perl lub C? Wystarczająco łatwe. Nawet awk mógłby to zrobić. Nawet jeśli nie masz tych zainstalowanych, musisz również powstrzymać użytkownika przed wprowadzaniem skompilowanych plików binarnych spoza systemu lub działaniem, /bin/shktóre prawdopodobnie musi być w pełni działającą powłoką, aby reszta systemu mogła działać.

Wystarczy użyć ulimit -u(tj. RLIMIT_NPROC) Lub odpowiednika, aby ograniczyć liczbę procesów, które użytkownik może uruchomić. W większości systemów Linux pam_limitsmożna ustawić limit liczby procesów przed uruchomieniem jakichkolwiek poleceń wybranych przez użytkownika.

Coś takiego /etc/security/limits.confwprowadziłoby sztywny limit 50 procesów dla wszystkich użytkowników:

*        hard    nproc           50

_{(Stephen Kitt wspomniał już o punkcie 1, Jeff Schaller o 2 i 3.)}

Nie. Jest po prostu zbyt wiele sposobów na napisanie bomby.

Pisarz złych bomb widłowych po prostu spróbuje jeszcze raz z inną nazwą funkcji. Lub inne zmiany, dopóki jego bomba nie rozwinie się.

Nieumyślny autor widelec-bomba przede wszystkim nie wyprodukuje kanonicznej bomby-widelca.

Tak naprawdę łatwo jest samemu zostać nieumyślnym pisarzem-bombą. Na przykład, możesz po prostu użyć rekurencyjnego makez zewnętrznym, niezaznaczonym cd, łącząc go z -jopcją i nieistniejącymi podkatalogami - prawdziwy przykład, na który natknąłem się raz.

Nie możesz zabezpieczyć się przed wszystkimi możliwościami, a na pewno nie przed zdeterminowanym atakującym. Wszystko, co osiągniesz, to zwiększenie złożoności systemu.

Nie możesz aliasować bomby widelcowej, ponieważ nie jest to prawidłowy alias :

$ alias ':(){ :|:& };:'='echo fork bomb averted'
bash: alias: `:(){ :|:& };:': invalid alias name

Znaki „/”, „$”, „'”, „=” oraz dowolne metaznaki powłoki lub znaki cytowania wymienione powyżej mogą nie pojawiać się w nazwie aliasu.

Niektóre powłoki nie sprawdzają nazw aliasów, gdy są zadeklarowane, ale podczas interpretacji poleceń i pomijają wtedy niepoprawną nazwę. Widelec zawsze będzie zawierać bombę &, której nie można podać w prawidłowym aliasie, więc ochrona się w ten sposób nie jest możliwa.

Dwa razy nie.

To nie jedyny sposób na napisanie bomby widelcowej.

Istnieje również kilka sposobów wykonania „polecenia”, gdy istnieje alias:

command the-command
\the-command

Przykład:

$ alias ls=not-really-ls
$ ls
-bash: not-really-ls: command not found
$ \ls
jeff.html  output.png
$ command ls
jeff.html  output.png