noexec

[Andrzej Szombierski]

On Wed, 1 May 2002, Radek Pilawka wrote:

> [wtorek, 30 kwiecień 2002], ebola napisał(a):
> 
> > Witam
> > 
> > Zna ktos moze modol albo cos co dziala podobnie do modolu rexec spod bsd.
> > Chcialbym po prostu aby userzy dopisani do odpowiedniej grupy mogli odpalac
> > wlasne binarki a reszta userkuf miala to zabronione, wiem ze mozna to zrobic
> > na partycji noexec ale mnie bardziej interesuje opcja z taka magiczna grupa.
> > 
> grsecurity to potrafi.
> 

Z tego co wiem, to zabezpieczenie używane przez grsecurity też nie jest
przy typowych systemach 100% skuteczne. Co prawda istnieje możliwość
zablokowania userom zmiennych typu LD_PRELOAD, ale jeżeli w systemie jest
zainstalowany np. perl, to przy odrobinie kombinacji można załadować do
niego dowolną bibliotekę .so przez moduł DynaLoader:

perl -mDynaLoader -e 'DynaLoader::dl_load_file("anything.so")'

Inna sprawa, że noexec też tego nie blokuje.

Andrzej Szombierski
anszom w v-lo.krakow.pl / qq w kuku.eu.org / anszom w klub.chip.pl