Überprüfung der Befehls-Binärdateien vor der Ausführung

Gibt es Methoden, um zu überprüfen, was Sie tatsächlich aus einem Bash-Skript ausführen?

Sagen Sie Ihr Bash - Skript mehrere Befehle ruft (zum Beispiel: tar, mail, scp, mysqldump) , und Sie sind bereit , um sicherzustellen , dass tardie tatsächliche ist, real tar, was durch die bestimmbar rootBenutzer der Datei und übergeordnetes Verzeichnis Eigentümer und der einzige mit Schreibberechtigungen zu sein und nicht einige /tmp/surprise/tarmit www-dataoder apache2als Eigentümer.

Klar, ich weiß über PATHund über die Umgebung Bescheid , ich bin gespannt, ob dies zusätzlich mit einem laufenden Bash-Skript überprüft werden kann und wenn ja, wie genau?

Beispiel: (Pseudocode)

tarfile=$(which tar)
isroot=$(ls -l "$tarfile") | grep "root root"
#and so on...

Anstatt die auszuführenden Binärdateien zu validieren, können Sie auch die richtigen Binärdateien von Anfang an ausführen. Wenn Sie beispielsweise sicherstellen möchten, dass Sie nicht ausgeführt werden /tmp/surprise/tar, führen Sie einfach /usr/bin/tarIhr Skript aus. Stellen Sie alternativ $PATHeinen vernünftigen Wert ein, bevor Sie etwas ausführen.

Wenn Sie Dateien /usr/bin/und anderen Systemverzeichnissen nicht vertrauen , gibt es keine Möglichkeit, das Vertrauen wiederzugewinnen. In Ihrem Beispiel überprüfen Sie den Eigentümer mit ls, aber woher wissen Sie, dass Sie vertrauen können ls? Das gleiche Argument gilt für andere Lösungen wie md5sumund strace.

Wenn ein hohes Vertrauen in die Systemintegrität erforderlich ist, werden spezielle Lösungen wie IMA verwendet. Dies ist jedoch nichts, was Sie von einem Skript aus verwenden könnten: Das gesamte System muss auf eine spezielle Weise eingerichtet werden, wobei das Konzept der unveränderlichen Dateien vorhanden ist.

Wenn ein Angreifer Zugriff auf Ihr System hat und Ihr System ändern kann $PATH(was /tmpunter keinen Umständen möglich sein sollte), ist es zu spät, um sich Gedanken über die Eigentümerschaft der ausführbaren Dateien zu machen.

Stattdessen sollten Sie lesen, wie Sie mit einem Eindringen umgehen .

Konzentrieren Sie sich besser darauf, Einbrüche zu vermeiden.

Wenn Sie ein System haben, in dem solche Dinge wichtig sind, ist es möglicherweise eine gute Idee, die Teile davon, die öffentlich sein müssen, von den Teilen zu isolieren, die privat sein müssen, und eine Prüfung der Kommunikationsmodi durchzuführen zwischen diesen.

Es ist bis zu einem gewissen Grad möglich, md5sumeine Datei zu überprüfen . Auf Systemen mit aptPaketverwaltung - in meinem speziellen Fall Ubuntu 16.04 - gibt es also die Datei /var/lib/dpkg/info/tar.md5sums, in der die md5-Summen aller Dateien gespeichert sind, die tarwährend der Installation erstellt wurden. Sie könnten also eine einfache if-Anweisung schreiben, die prüft, ob die Ausgabe von md5sum /bin/tarmit der in dieser Datei übereinstimmt.

Das setzt natürlich voraus, dass die Datei selbst nicht manipuliert wurde. Dies kann natürlich nur passieren, wenn der Angreifer root / sudo-Zugriff hat. Zu diesem Zeitpunkt sind alle Wetten deaktiviert.

Ja, es gibt eine Methode: die eingebaute type. Im Gegensatz zu dem whichBefehl, der nur in Ihrem PFAD sucht, typewird Ihnen mitgeteilt, ob der Befehlsname tatsächlich ein reserviertes Schlüsselwort, eine eingebaute Datei, ein Alias, eine Funktion oder eine Festplattendatei ist.

$ type -t foobar || echo "Not found"
Not found

$ type -t echo
builtin

$ enable -n echo; type -t echo; type -p echo
file
/usr/bin/echo

$ echo() { printf "(echoing) %s\n" "$*"; }; type -t echo
function

$ alias echo="/bin/echo 'I say: ' "; type -t echo
alias

Außerdem erhalten type -aSie alle Kandidaten für Ihr Kommando (von der ersten bis zur letzten Wahl):

$ type -a echo
echo is aliased to `/bin/echo 'I say: ' '
echo is a function
echo () 
{ 
    printf "(echoing) %s\n" "$*"
}
echo is a shell builtin
echo is /usr/local/bin/echo
echo is /bin/echo

Wenn Sie sich nur Gedanken über die Binärdateien auf Ihrer Festplatte machen, können Sie type -Paalle Binärdateien in Ihrem PATH abrufen (in derselben Reihenfolge wie oben):

$ type -Pa tar
/home/me/bin/tar                <= oh oh, is this normal?
/bin/tar

Das heißt, typealleine sagt Ihnen nicht genau, welcher Befehl am Ende aufgerufen wird. Wenn Sie tarbeispielsweise einen Aliasnamen haben, der eine Binärdatei aufruft (z. B. alias tar="/tmp/tar"), typewerden Sie darauf hingewiesen, dass es sich um einen handelt alias.

Mit können Sie überprüfen, welche Befehle von einem Skript genau ausgeführt werden strace. Beispielsweise:

strace -f -e execve ./script.sh

Mit folgendem Skript:

#!/bin/bash
touch testfile.txt
echo "Hello" >> testfile.txt
cat testfile.txt
rm testfile.txt

stracezeigt den genauen Pfad zu den Befehlen an, die bei Verwendung mit -e execveparameter ausgeführt werden:

execve("./script.sh", ["./script.sh"], [/* 69 vars */]) = 0 
Process 8524 attached
[pid  8524] execve("/usr/bin/touch", ["touch", "testfile.txt"], [/* 68 vars */]) = 0 
[pid  8524] +++ exited with 0 +++
--- SIGCHLD {si_signo=SIGCHLD, si_code=CLD_EXITED, si_pid=8524, si_status=0, si_utime=0, si_stime=0} --- 
Process 8525 attached [pid > 8525] execve("/bin/cat", ["cat", "testfile.txt"], [/* 68 vars */]) = 0
Hello [pid  8525] +++ exited with 0 +++
--- SIGCHLD {si_signo=SIGCHLD, si_code=CLD_EXITED, si_pid=8525, si_status=0, si_utime=0, si_stime=0} --- 
Process 8526 attached [pid > 8526] execve("/bin/rm", ["rm", "testfile.txt"], [/* 68 vars */]) = 0
[pid  8526] +++ exited with 0 +++
--- SIGCHLD {si_signo=SIGCHLD, si_code=CLD_EXITED, si_pid=8526, si_status=0, si_utime=0, si_stime=0} ---
+++ exited with 0 +++

Parameter (von strace man):

-f: Verfolgen Sie untergeordnete Prozesse, wie sie von aktuell verfolgten Prozessen aufgrund der Systemaufrufe fork (2), vfork (2) und clone (2) erstellt werden. Beachten Sie, dass -p PID -falle Threads der Prozess-PID angehängt werden, wenn es sich um Multithread-Threads handelt, und nicht nur Thread mit thread_id = PID.

-e trace=file: Verfolgt alle Systemaufrufe, die einen Dateinamen als Argument verwenden. Sie können sich dies als eine Abkürzung vorstellen, für -e trace=open,stat,chmod,unlink,...die nützlich ist, um festzustellen, auf welche Dateien der Prozess verweist. Durch die Verwendung der Abkürzung wird außerdem sichergestellt, dass Sie nicht versehentlich vergessen, einen Anruf wie lstat in die Liste aufzunehmen.

Linux OS basiert auf Dateien und viele Befehle, die unter Linux ausgeführt werden, werden wahrscheinlich einige Änderungen an Dateien auf Ihrem Computer bewirken. Aus diesem Grund ist es vielleicht die beste Lösung für Ihr Problem. Sie können Ihre Befehle auf Änderungen am Dateisystem testen, bevor es ausgeführt wird.

Es gibt einen 'strace'-Befehl, der Ihren Befehl in Teile zerlegt ...

Wenn Sie wirklich tief gehen möchten, möchten Sie Dekompilierer für die Skripte auschecken, die ausgeführt werden sollen. Mit anderen Worten, Sie müssen die Assembler-Interpretation dieses Befehls überprüfen. Für Bash dort objdump -d. Linux bin-Skripte werden hauptsächlich mit CProgrammiersprache erstellt, verwenden Sie also einen guten CDekompiler.