|
ru.perl
- RU.PERL ----------------------------------------------------------------------
From : Artem Chuprina 2:5020/400 21 Oct 2004 14:14:13
To : Andrey
Subject : Re: проблема с доступом к файлу!!!
--------------------------------------------------------------------------------
nsk.su> <20041013055803.GK67918@quarta.carrier.kiev.ua>
nsk.su> <ckisbk$mii$1@news.nsk.su>
nsk.su> <20041013211456.GD77964@quarta.carrier.kiev.ua>
nsk.su> <ckkm4v$o86$1@news.nsk.su> <861xg11tfu.fsf@tigger.lan.cryptocom.ru>
nsk.su> <cknbok$680$1@news.nsk.su> <86d5zk5j86.fsf@tigger.lan.cryptocom.ru>
nsk.su> <ckvc04$jc$1@news.nsk.su> <86k6tob768.fsf@tigger.lan.cryptocom.ru>
nsk.su> <cl1s4s$hje$1@news.nsk.su> <86k6tnvwbk.fsf@tigger.lan.cryptocom.ru>
nsk.su> <cl4fp0$ibg$1@news.nsk.su> <86ekjtmyx7.fsf@tigger.lan.cryptocom.ru>
nsk.su> <cl74mh$afh$1@news.nsk.su>
From: Artem Chuprina <ran+news@ran.pp.ru>
Andrey -> Artem Chuprina @ Thu, 21 Oct 2004 01:51:45 +0000 (UTC):
>> >> >> >> A> Артем, давай говорить конкретно, т.е. я перечислю свои
>> A> сомнения, а
>> >> A> ты
>> >> >> A> мне
>> >> >> >> A> скажешь в чем я не прав. Договорились?
>> >> >> >> A> Во-первых sudoers список пользователей, с указанием того,
A> что
>> A> они
>> >> >> A> могут
>> >> >> >> A> выполнять! Я прав?
>> >> >> >> A> Могу я без этого обойтись?
>> >> >> >> A> Мой конретный случай!
>> >> >> >> A> Скажем есть скрипт script, который я разрешаю выполнять
A> только
>> >> >> A> пользователю
>> >> >> >> A> vasya и никому более (а больше мне и не нужно)!
>> >> >> >> A> Для этого я пользуюсь командами chmod, chown, chgrp!
>> >> >> >>
>> >> >> >> Покажи набор команд, которыми ты разрешаешь пользоваться этим
>> A> скриптом
>> >> >> >> только пользователю vasya. Я, допустим, верю, что параметры
>> A> командной
>> >> >> >> строки скрипт не обрабатывает... (sudo можно попросить и
>> A> ограничить
>> >> >> >> набор параметров). Тогда поверю, что да, эту задачу ты умеешь
>> A> решать
>> >> >> >> без sudo, и для тебя в ней suidperl является адекватным
>> A> инструментом.
>> >> >> >> Тогда даже скажу, что более адекватным, поскольку он
A> автомагически
>> >> >> >> включает taint check.
>> >> >>
>> >> >> A> # cat 1
>> >> >> A> #!/usr/bin/suidperl
>> >> >> A> print "helo\n";
>> >> >> A> #
>> >> >> A> # chown vasya 1
>> >> >> A> #
>> >> >> A> # chmod 4500 1
>> >> >> A> #
>> >> >> A> # ls -l 1
>> >> >> A> -r-s------ 1 vasya wheel 36 18 окт 09:49 1
>> >> >> A> #
>> >> >> A> # ./1
>> >> >> A> helo
>> >> >> A> #
>> >> >> A> # su vasya
>> >> >> A> $ ./1
>> >> >> A> helo
>> >> >> A> $
>> >> >> A> $ su olga
>> >> >> A> Password:
>> >> >> A> $
>> >> >> A> $ ./1
>> >> >> A> ./1: permission denied
>> >> >> A> $
>> >> >>
>> >> >> Hе верю! (c) Hафига ставить 4500? Чтобы будучи запущенным от
A> рута,
>> >> >> скрипт работал от имени Васи? Так рут это может сделать (и
A> гораздо
>> >>
>> >> A> я может не правильно понимаю твой вопрос? разве строчки в примере:
>> >> A> ...
>> >> A> # su vasya
>> >> A> $ ./1
>> >> A> helo
>> >> A> ...
>> >> A> не то что тебе нужно?
>> >>
>> >> Hе-а. Скрипт и так Васе принадлежит. Зачем для этой операции suid?
>>
>> A> я просто для примера привел простенький скрипт...
>> A> суид нужен если Васе (а у меня такая ситуация) нужно открыть файл
>> A> принадлежащий root, wheel с правами 0640...
>> A> убедил?
>>
>> _Зачем_ оно тебе надо, я помню. Пример ты привел, мягко говоря,
>> некорректный. Демонстрирующий скорее неумение твое пользоваться
>> suid/sgid, нежели умение.
A> Артем, мне не охото ни спорить, ни гадать, что я по твоему мнению делаю
A> корректно, а что нет. Укажи пожалуйста конкретно, что я делаю не так и если
A> можно приведи маленький пример, как сделал бы ты и как по твоему мнению
A> корректно. Внимательно, прочту твою заметку.
Что конкретно ты сделал не так, я тебе сказал. Задачу, которую я
попросил тебя решить, ты не решил. Даже не попытался. А она
показательна. Хорошо, если у тебя совсем напрочь отсутствует
абстрактное мышление (и кстати, с учетом того, что исходная задача в
одном месте существенно отличается), вернемся к исходной. Есть конфиг с
правами root:wheel 0640. Есть скрипт, которому надо читать этот конфиг.
Есть пользователь vasya, который не входит в группу wheel. Допустим
даже, что он всего один. И есть пользователь olga, который тоже не
входит в группу wheel. Есть suidperl. Hикаких других невасиных прав
скрипту для работы не требуется, только конфиг прочитать. Покажи
собственника, группу и права скрипта.
--
Artem Chuprina
RFC2822: <ran@ran.pp.ru>, FIDO: 2:5020/122.256, ICQ: 13038757
--- ifmail v.2.15dev5.3
* Origin: Leninsky 45 home network (2:5020/400)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
