Amministrando sistemi Linux Server<\/b> \u00e8 sempre utile chiedersi che cosa si vuole raggiungere come obbiettivo. \u00c8 utile per il mio obbiettivo lasciare non so quanti demoni delle varie applicazioni attivi, come per es cups ( demone per il print Server ), se il Server in questione \u00e8 un Web Server?!<\/p>\n
Chiaramente no, tutto quello che non ci serve ( servizi, driver, programmi ecc. ) deve venire rimosso, anche dal Kernel (Guida in italiano sul come compilare il Kernel<\/a>).<\/p>\n Ricompilare il Kernel<\/b> togliendo tutte le cose che non servono e altro vuol dire pi\u00f9 sicurezza, velocit\u00e0 e stabilit\u00e0. Chiaramente meno applicazioni girano sul server e meno applicazioni ci sono da “exploitare” rispettivamente da proteggere.<\/p>\n Per vedere quali demoni sono attivi usare il comando netstat:<\/p>\n Come si pu\u00f2 notare sul mio Server sono attivi solo i demoni di cui ho bisogno.<\/p>\n Un’altra cosa da fare \u00e8 controllare i setuid e setgid, che se sono impostatati potrebbero venire usati per svolgere degli attacchi tramite exploit (eseguire codice da root).<\/p>\n I setuid<\/b> permettono a dei file binari di venire in alcuni casi eseguiti con diritti speciali, diversi dall’utente che li ha eseguiti.<\/p>\n Anche se i vari fornitori fanno molta attenzione a correggere tutti i bug in modo da impedire dei setuid\/setgid Root exploits, sembra che ne vengano scoperti ogni due mesi di nuovi. Ecco anche l’importanza di aggiornare il proprio sistema regolarmente.<\/p>\n Quindi, specialmente se si offre l’accesso tramite shell al proprio Server, consiglio di dare un occhiata ai setuid-binaries<\/b>.<\/p>\n Per farlo eseguire il seguente comando:<\/p>\n Ecco la lista. Ora eseguo un comando pi\u00f9 specifico per listare i file binari con il setuid-bit nelle varie cartelle.<\/p>\n Aggiungendo la pipeline “|” si ridireziona l’output e cio\u00e8 il risultato del primo comando, find, e lo si usa come input per il comando grep che poi mostra il suo risultato come output finale.<\/p>\n Vediamo un po’ cosa c’\u00e8 nella cartella \/usr\/bin eseguendo il seguente comando:<\/p>\n Vediamone alcuni:<\/p>\n Wall e write vengono usati per poter scrivere messaggi al terminal di un altro utente. Ecco un esempio: write a message to login users through terminal<\/a> Non mi serve, l’unico utente sono io e root.<\/p>\n DESCRIPTION: The fusermount utility acts as a frontend to the refuse(3) library, allowing mounting and unmounting of refuse-based file systems.<\/i> Non ne ho bisogno.<\/p>\n is a program to lock one or more sessions on the Linux console. This is especially useful for Linux machines which have multiple users with access to the console. Vlock viene tipicamente usato in sistemi in cui diversi utenti accedono al sistema simultaneamente. Non \u00e8 il mio caso, tolgo anche questo.<\/p>\n Sudo viene usato per permettere agli utenti normali di eseguire alcuni comandi con diritti di amministrazione. Sudo pu\u00f2 essere molto utile per esempio in una situazione in cui vi sono pi\u00f9 amministratori di sistema (ancora una volta, non lasciare diritti inutilmente, non fidarsi di nessuno) con compiti diversi, per permettere ai vari Admins di svolgere solo i comandi che servono loro per potere svolgere correttamente le loro funzioni. Mentre solo un Admin ha il controllo di tutto. O un utente che per comodit\u00e0 si aggiunge mount e umount o altro. Non \u00e8 il nostro caso, sono l’unico Admin. L’utente non admin lo uso solo per connettermi tramite ssh al server.<\/p>\n Passwd<\/b> viene usasto per combiare la propria password ma visto che non vi sono utenti eccetto me e che non offro l’accesso via shell a nessuno, mi basta potere cambiare le password degli utenti da amministratore<\/b>. Chfn<\/b> viene usato per modificare le proprie informazioni finger. Chsh<\/b> per modificare il proprio login alla shell. Il comando chage<\/b> viene usato per modificare la scadenza in cui un utente deve cambiare la password in relazione all’ultima modifica effettuata. “The chage<\/b> command changes the number of days between password changes and the date of the last password change. This information is used by the system to determine when a user must change his\/her password.”<\/i> Non abbiamo per vari motivi intenzione di offrire la possibilit\u00e0 a utenti normali id eseguire questi comandi.<\/p>\n Nella maggior parte dei casi si possono cancellare quasi tutti i setuid-bit. Sulle applicazioni che non si conoscono si fa una breve ricerca in modo da capire se sono essenziali oppure no al proprio scopo. Informarsi ed eliminare tutto quello che non serve.<\/p>\n Non dimenticare che per ottenere informazioni in inglese sui vari comandi appena elencati basta eseguire il comando man “nomecomando”.<\/p>\n Per sapere a cosa serve il comando passwd per esempio. Ecco l’inoformazione trovata con man:“DESCRIPTION The passwd command changes passwords for user accounts. A normal user may only change the password for his\/her own account, while the superuser may change the password for any account. passwd also changes the account or associated password validity period.”<\/i><\/p>\n Il comando usato per cancellare il setuid-bit \u00e8 chmod a-s:<\/p>\n Ora si fa lo stesso comando con \/bin:<\/p>\n Qui abbiamo ping<\/b> e ping 6<\/b> che son dei programmi per testare la connetivit\u00e0, mount<\/b> e umount<\/b> che servono per montare rispettivamente demontare dei dischi. Ed in fine eject<\/b> che viene usato per espellere il DVD-ROM o un dischetto.<\/p>\n Una volta deciso quali tenere e quali no, eseguiamo nuovamente il comando:<\/p>\n Ora cercare i programmi con il bit impostato nella cartella sbin:<\/p>\n Vediamone alcuni:<\/p>\n mount.nfs<\/b> serve per montare il file system nfs. Se si vuole usare un nfs client o server sul Server. Non ci serve.<\/p>\n Postdrop<\/b> e postqueue<\/b> sono dei componenti di Postfix<\/b>, che fa da sendmail.<\/p>\n Definizione in inglese di Utempter<\/b>: is a utility that allows some non-privileged programs to have required root access without compromising system security. Utempter accomplishes this task by acting as a buffer between root and the programs.<\/p>\n Definizione di unix_chkpwd<\/a>: is a helper program for the pam_unix<\/a> module that verifies the password of the current user. It also checks password and account expiration dates in shadow. It is not intended to be run directly from the command line and logs a security violation if done so.<\/p>\n Se una certa applicazione non si usa si potrebbe pensare di eliminare il pacchetto del tutto, vediamo:<\/p>\n Cancellare chiaramente anche i programmi come ftp, sftp, traceroute, telnet, wget, curl e altri. Il compiler gcc una volta compilato il Kernel, rimuoverlo – uno potrebbe copiare il codice da shell a shell e compliare il programma localmente senza lasciare traccia nei log file… Come cancellare veramente ogni pacchetto che non ci serve.<\/p>\n Per dare un occhiata ai pacchetti installati eseguire:<\/p>\n\n
# netstat -lp\nActive Internet connections (only servers)\nProto Recv-Q Send-Q Local Address Foreign Address State PID\/Program name \ntcp 0 0 *:mysql *:* LISTEN 1500\/mysqld \ntcp 0 0 *:www-http *:* LISTEN 12779\/httpd2-prefor \ntcp 0 0 *:ssh *:* LISTEN 1378\/sshd \ntcp 0 0 *:https *:* LISTEN 12779\/httpd2-prefor \nActive UNIX domain sockets (only servers)\nProto RefCnt Flags Type State I-Node PID\/Program name Path\nunix 2 [ ACC ] STREAM LISTENING 5446 1500\/mysqld \/var\/lib\/mysql\/mysql.sock\nunix 2 [ ACC ] STREAM LISTENING 6258 1561\/acpid \/var\/run\/acpid.socket\nunix 2 [ ACC ] STREAM LISTENING 5491 1574\/dbus-daemon \/var\/run\/dbus\/system_bus_socket\nunix 2 [ ACC ] STREAM LISTENING 6876 2376\/mcelog \/var\/run\/mcelog-client\nunix 2 [ ACC ] STREAM LISTENING 5528 1650\/hald @\/var\/run\/hald\/dbus-ca1QSpmtK8\nunix 2 [ ACC ] STREAM LISTENING 5531 1650\/hald @\/var\/run\/hald\/dbus-WQCKBVSnqK\n#\n<\/pre>\n
<\/blockquote>\n<\/blockquote>\n<\/div>\n
\n
# find \/ -perm \/6000 -type f -exec ls -ld {} \\;\n-rwsr-xr-x 1 root shadow 35688 Jan 13 2012 \/sbin\/unix_chkpwd\n-rwsr-xr-x 1 root root 111272 Feb 20 16:04 \/sbin\/mount.nfs\n-rwsr-xr-x 1 root shadow 10736 Dec 16 2011 \/sbin\/unix2_chkpwd\n-rwsr-xr-x 1 root root 40016 Mar 19 00:59 \/bin\/su\n-rwsr-xr-x 1 root audio 23880 Dec 14 2011 \/bin\/eject\n-rwsr-xr-x 1 root root 40048 Apr 15 2011 \/bin\/ping\n-rwsr-xr-x 1 root root 94776 Apr 29 23:20 \/bin\/mount\n-rwsr-xr-x 1 root root 69208 Apr 29 23:20 \/bin\/umount\n-rwsr-xr-x 1 root root 35792 Apr 15 2011 \/bin\/ping6\n-rwsr-x--- 1 root messagebus 47912 Oct 15 2012 \/lib64\/dbus-1\/dbus-daemon-launch-helper\n-rwxr-sr-x 1 root tty 10680 May 10 2010 \/usr\/sbin\/utempter\n-rwsr-xr-x 1 root root 10632 Feb 14 19:56 \/usr\/sbin\/zypp-refresh-wrapper\n-rwxr-sr-x 1 root maildrop 15136 Jun 18 2012 \/usr\/sbin\/postdrop\n-rwxr-sr-x 1 root maildrop 19176 Jun 18 2012 \/usr\/sbin\/postqueue\n-rwsr-xr-x 1 root shadow 19320 Feb 1 2012 \/usr\/bin\/expiry\n-rwsr-xr-x 1 root root 230072 Apr 30 10:38 \/usr\/bin\/sudo\n-rwsr-xr-x 1 root root 44752 Jun 29 2011 \/usr\/bin\/opiesu\n-rwxr-sr-x 1 root tty 15000 Apr 29 23:21 \/usr\/bin\/wall\n-rwsr-xr-x 1 root shadow 81856 Feb 1 2012 \/usr\/bin\/passwd\n-rwsr-xr-x 1 root trusted 40432 Apr 3 01:33 \/usr\/bin\/crontab\n-rwsr-xr-x 1 root shadow 82472 Feb 1 2012 \/usr\/bin\/chfn \n-rwxr-sr-x 1 root tty 14896 Apr 29 23:21 \/usr\/bin\/write \n-rws--x--x 1 root root 1914440 May 24 22:56 \/usr\/bin\/Xorg \n-rwsr-xr-x 1 root root 19416 Feb 1 2012 \/usr\/bin\/newgrp \n-rwsr-xr-x 1 root root 44304 Jun 29 2011 \/usr\/bin\/opiepasswd \n-rwsr-xr-x 1 root shadow 85952 Feb 1 2012 \/usr\/bin\/gpasswd \n-rwsr-xr-x 1 root trusted 31552 Apr 15 16:33 \/usr\/bin\/fusermount \n-rwsr-xr-x 1 root shadow 77848 Feb 1 2012 \/usr\/bin\/chsh \n-rwsr-xr-x 1 root shadow 86200 Feb 1 2012 \/usr\/bin\/chage \n-rwxr-sr-x 1 root shadow 15128 Feb 21 2009 \/usr\/bin\/vlock \n-rwsr-xr-x 1 root root 26897 Mar 18 22:30 \/usr\/lib64\/pt_chown \n-rwxr-sr-x 1 root polkituser 23160 Oct 26 2012 \/usr\/lib\/PolicyKit\/polkit-revoke-helper \n-rwxr-sr-x 1 root polkituser 19208 Oct 26 2012 \/usr\/lib\/PolicyKit\/polkit-grant-helper \n-rwsr-x--- 1 root polkituser 10744 Oct 26 2012 \/usr\/lib\/PolicyKit\/polkit-grant-helper-pam \n-rwxr-sr-x 1 root polkituser 14856 Oct 26 2012 \/usr\/lib\/PolicyKit\/polkit-read-auth-helper \n-rwxr-sr-x 1 root polkituser 19008 Oct 26 2012 \/usr\/lib\/PolicyKit\/polkit-explicit-grant-helper \n-rwsr-xr-x 1 polkituser root 23176 Oct 26 2012 \/usr\/lib\/PolicyKit\/polkit-set-default-helper \n# \n<\/pre>\n<\/blockquote>\n<\/div>\n\n
# find \/ -perm +6000 -type f -exec ls -ld {} \\; | grep \"\/usr\/bin\" \n-rwsr-xr-x 1 root shadow 19320 Feb 1 2012 \/usr\/bin\/expiry \n-rwsr-xr-x 1 root root 230072 Apr 30 10:38 \/usr\/bin\/sudo \n-rwsr-xr-x 1 root root 44752 Jun 29 2011 \/usr\/bin\/opiesu \n-rwxr-sr-x 1 root tty 15000 Apr 29 23:21 \/usr\/bin\/wall \n-rwsr-xr-x 1 root shadow 81856 Feb 1 2012 \/usr\/bin\/passwd \n-rwsr-xr-x 1 root trusted 40432 Apr 3 01:33 \/usr\/bin\/crontab \n-rwsr-xr-x 1 root shadow 82472 Feb 1 2012 \/usr\/bin\/chfn \n-rwxr-sr-x 1 root tty 14896 Apr 29 23:21 \/usr\/bin\/write \n-rws--x--x 1 root root 1914440 May 24 22:56 \/usr\/bin\/Xorg \n-rwsr-xr-x 1 root root 19416 Feb 1 2012 \/usr\/bin\/newgrp \n-rwsr-xr-x 1 root root 44304 Jun 29 2011 \/usr\/bin\/opiepasswd \n-rwsr-xr-x 1 root shadow 85952 Feb 1 2012 \/usr\/bin\/gpasswd \n-rwsr-xr-x 1 root trusted 31552 Apr 15 16:33 \/usr\/bin\/fusermount \n-rwsr-xr-x 1 root shadow 77848 Feb 1 2012 \/usr\/bin\/chsh \n-rwsr-xr-x 1 root shadow 86200 Feb 1 2012 \/usr\/bin\/chage \n-rwxr-sr-x 1 root shadow 15128 Feb 21 2009 \/usr\/bin\/vlock \n# \n<\/pre>\n<\/blockquote>\n<\/blockquote>\n<\/div>\n
Wall e write<\/h4>\n
Fusermount<\/h4>\n
Vlock<\/h4>\n
Sudo<\/h4>\n
Passwd, chage, chfn e chsh<\/h4>\n
\n
$ man passwd\n<\/pre>\n<\/blockquote>\n<\/div>\n
\n
# chmod a-s \/usr\/bin\/{wall,crontab,chfn,write,newgrp,opiepasswd,gpasswd,fusermount,chsh,chage,vlock,opiesu,passwd,sudo}\n<\/pre>\n<\/blockquote>\n<\/div>\n\n
# find \/ -perm +6000 -type f -exec ls -ld {} \\; | grep \"\/bin\"\n-rwsr-xr-x 1 root root 40016 Mar 19 00:59 \/bin\/su \n-rwsr-xr-x 1 root audio 23880 Dec 14 2011 \/bin\/eject \n-rwsr-xr-x 1 root root 40048 Apr 15 2011 \/bin\/ping \n-rwsr-xr-x 1 root root 94776 Apr 29 23:20 \/bin\/mount \n-rwsr-xr-x 1 root root 69208 Apr 29 23:20 \/bin\/umount \n-rwsr-xr-x 1 root root 35792 Apr 15 2011 \/bin\/ping6\n\n<\/pre>\n<\/blockquote>\n<\/div>\n\n
# chmod a-s \/bin\/{ping6,ping,eject,mount,umount} \n<\/pre>\n<\/blockquote>\n<\/div>\n\n
# find \/ -perm +6000 -type f -exec ls -ld {} \\; | grep \"\/sbin\" \n-rwsr-xr-x 1 root shadow 35688 Jan 13 2012 \/sbin\/unix_chkpwd \n-rwsr-xr-x 1 root root 111272 Feb 20 16:04 \/sbin\/mount.nfs \n-rwsr-xr-x 1 root shadow 10736 Dec 16 2011 \/sbin\/unix2_chkpwd \n-rwxr-sr-x 1 root tty 10680 May 10 2010 \/usr\/sbin\/utempter \n-rwsr-xr-x 1 root root 10632 Feb 14 19:56 \/usr\/sbin\/zypp-refresh-wrapper\n-rwxr-sr-x 1 root maildrop 15136 Jun 18 2012 \/usr\/sbin\/postdrop\n-rwxr-sr-x 1 root maildrop 19176 Jun 18 2012 \/usr\/sbin\/postqueue\n#\n<\/pre>\n<\/blockquote>\n<\/div>\n\n
# chmod a-s \/usr\/sbin\/{postdrop,postqueue,utempter}\n# chmod a-s \/sbin\/mount.nfs\n<\/pre>\n<\/blockquote>\n<\/div>\n\n
# rpm -qa | grep \"ftp\"\nftp-xx\n# rpm -e ftp-xx\n<\/pre>\n<\/blockquote>\n<\/div>\n