|
ru.linux
- RU.LINUX ---------------------------------------------------------------------
From : Alexandr S. Agranovsky 2:5020/400 08 Mar 2003 23:29:58
To : Gennady Terehov
Subject : Re: Re: Re: Re: proftpd
--------------------------------------------------------------------------------
Hi, Gennady Terehov
>> его изнутри сделать нельзя - поэтому защита остается.
GT> Защита от чего?
От доступа в каталоги лежащие за пределами chroot (прибинденный
каталог _легально_ попал в за'chroot'енную иерархию).
GT> Ты же сам сказал "Если симлинки работали бы за пределы chroot'а, то это
GT> будет
GT> полной профанацией chroot" Где логика-то у тебя?
Hа месте. Представим себя на месте программы, работающей под
chroot. Если она сделает симлинк вида ../../../../../../, то
этот симлинк будет профанацией в том случае, если он позволит
выйти за пределы chroota. Логично?
А если эта программа попробует выполнить mount --bind? Ей же не
к чему прицепиться - она не имеет доступа к каталогу, который
хочет прибиндить. Поэтому mount --bind - не профанация, потому
что изнутри chroot'а его не сделать. Аналогично, если извне
chroot'а прибиндить внутрь каталог, программа изнутри не сможет
использовать его для нелегального выхода за пределы своей
тюрьмы. В чем вопрос-то?
Случай взлома ломом (программа с правами root создает /dev/
файлы в своем chroot и монтирует через них файловые системы)
не рассматриваем (на то и root, чтобы обходить ограничения).
- ---
Alexandr S. Agranovsky llb@udmnet.ru
--- ifmail v.2.15dev5
* Origin: LLB, LLC (2:5020/400)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
