Pytania otagowane jako security

Jeśli od jakiegoś czasu obserwujesz unix.stackexchange.com, powinieneś wiedzieć, że pozostawienie zmiennej niecytowanej w kontekście listy (jak w echo $var) w powłokach Bourne / POSIX (wyjątek to zsh) ma bardzo szczególne znaczenie i nie należy tego robić, chyba że masz ku temu dobry powód. To omówiono obszernie w wielu Q & …

206 bash  shell  shell-script  security  quoting 

setuidNieco pozwolenie mówi Linux do uruchomienia programu z efektywnym id użytkownika właściciela zamiast wykonawcy: > cat setuid-test.c #include <stdio.h> #include <unistd.h> int main(int argc, char** argv) { printf("%d", geteuid()); return 0; } > gcc -o setuid-test setuid-test.c > ./setuid-test 1000 > sudo chown nobody ./setuid-test; sudo chmod +s ./setuid-test > …

184 shell  scripting  setuid  security 

Technicznie, chyba że pamjest skonfigurowany do sprawdzania powłoki, pam_shellsżadna z nich nie może faktycznie uniemożliwić zalogowania się, jeśli nie jesteś w powłoce. W moim systemie mają nawet różne rozmiary, więc podejrzewam, że faktycznie coś robią. Jaka jest różnica? dlaczego oboje istnieją? Dlaczego miałbym używać jednego nad drugim? -rwxr-xr-x 1 root …

169 shell  security  login 

Czy możliwe jest zainfekowanie mojego Linux-a złośliwym oprogramowaniem? Nie słyszałem o tym, żeby zdarzyło się to komuś, kogo znam, i słyszałem kilka razy, że nie jest to możliwe. Czy to prawda? Jeśli tak, o co chodzi z oprogramowaniem antywirusowym (zabezpieczającym) dla systemu Linux?

142 security  malware 

Trochę kontekstu na temat błędu: CVE-2014-6271 Bash obsługuje eksportowanie nie tylko zmiennych powłoki, ale także funkcji powłoki do innych instancji bash, poprzez środowisko procesowe do (pośrednich) procesów potomnych. Obecne wersje bash używają zmiennej środowiskowej nazwanej nazwą funkcji i definicji funkcji rozpoczynającej się od „() {” w wartości zmiennej do propagowania …

122 bash  security  shellshock 

Chciałbym mieć konto root bezpiecznie, nawet jeśli mój nieuprzywilejowany użytkownik jest zagrożony. W systemie Ubuntu domyślnie można używać sudo tylko ze względów bezpieczeństwa. Nie jestem jednak pewien, czy jest to bezpieczniejsze niż logowanie przy użyciu konsoli tekstowej. Jest zbyt wiele rzeczy, które mogą pójść nie tak, jeśli osoba atakująca może …

120 security  sudo  login  su  privileges 

Nigdy nie należy wklejać z Internetu do terminala . Zamiast tego należy wkleić do edytora tekstu, sprawdzić polecenie, a następnie wkleić do terminala. Zgadza się, ale co jeśli Vim jest moim edytorem tekstu? Czy można sfałszować treść, która przełącza Vima w tryb poleceń i wykonuje złośliwe polecenie?

112 security  vim  escape-characters  clipboard  special-characters 

CVE-2014-0160 alias Heartbleed jest podatnością w OpenSSL. Wygląda przerażająco. Jak ustalić, czy mam na to wpływ? Jeśli mnie to dotknie, co muszę zrobić? Najwyraźniej aktualizacja nie wystarczy.

93 security  openssl 

Dostrzegam dziwną (według mnie) rzecz dotyczącą haseł. Na przykład, jeśli wprowadzę nieprawidłowe hasło podczas logowania, nastąpi kilka sekund opóźnienia, zanim system mi o tym powie. Gdy próbuję sudoużyć niepoprawnego hasła, musiałbym również poczekać, aż powłoka powie „Przepraszam, spróbuj ponownie”. Zastanawiam się, dlaczego tak długo „rozpoznaje się” nieprawidłowe hasło? Zostało to …

89 security  password  authentication  pam 

Przez lata (od 2005 r.) Widziałem dzienniki dziwnych losowych żądań DNS wykonanych na wielu serwerach DNS / BIND, które prowadziłem. May 7 12:13:50 1.1.1.1 named[63742]: client 1.1.1.2#24123 (verxkgiicjmcnxg): view internal: query: verxkgiicjmcnxg IN A + (1.1.1.1) May 7 12:13:50 1.1.1.1 named[63742]: client 1.1.1.2#29159 (epqoaqsayo): view internal: query: epqoaqsayo IN A …

88 security  dns  chrome 

W systemie Linux mogę utworzyć skrót hasłowy SHA1 przy użyciu sha1pass mypassword. Czy istnieje podobne narzędzie wiersza poleceń, które pozwala mi tworzyć sha512skróty? To samo pytanie dla Bcrypti PBKDF2.

83 security  password  encryption  hashsum 

Wszyscy w Internecie radzą wyłączyć logowanie roota przez SSH, ponieważ jest to zła praktyka i dziura w systemie bezpieczeństwa, ale nikt nie wyjaśnia, dlaczego tak jest. Co jest takiego niebezpiecznego w włączaniu logowania roota (szczególnie przy wyłączonym logowaniu się hasłem)? Jaka jest różnica między nazwą użytkownika symbolu X a hasłem …

83 ssh  security  root 

Wiem co to robi, ale nie wiem dlaczego . Jakim atakom zapobiega to? Czy ma to znaczenie dla wszelkiego rodzaju metod uwierzytelniania? (oparty na hoście, hasło, klucz publiczny, klawiatura interaktywna ...)

78 ssh  security  dns  openssh 

W moim /etc/passwdpliku widzę, że www-dataużytkownik używany przez Apache, a także różnego rodzaju użytkownicy systemu, mają powłokę logowania jako /usr/sbin/nologinlub /bin/false. Na przykład oto wybór linii: daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin bin:x:2:2:bin:/bin:/usr/sbin/nologin sys:x:3:3:sys:/dev:/usr/sbin/nologin games:x:5:60:games:/usr/games:/usr/sbin/nologin www-data:x:33:33:www-data:/var/www:/usr/sbin/nologin syslog:x:101:104::/home/syslog:/bin/false whoopsie:x:109:116::/nonexistent:/bin/false mark:x:1000:1000:mark,,,:/home/mark:/bin/bash W związku z tym, jeśli spróbuję zamienić się na któregokolwiek z tych użytkowników (co czasami chciałbym …

76 shell  security  users  login 

Patrzyłem na klawiaturę i wpisałem hasło, ponieważ myślałem, że już wpisałem swoją nazwę użytkownika. Nacisnąłem Enter, a kiedy zapytałem o hasło, nacisnąłem Ctrl+ c. Czy powinienem podjąć środki ostrożności, aby upewnić się, że hasło nie jest gdzieś zapisane jako zwykły tekst, czy powinienem je zmienić? To też było na tty …

75 security  login  password