forum.opennet.ru

Составление сообщения

Исходное сообщение

"Endlessh - фиктивный SSH-сервер для борьбы с перебором парол..."
Отправлено freehck, 26-Мрт-19 07:56

> setcap даёт cap_net_bind_service перманентно <...>
Ну я на самом деле утрирую. Вещи типа DynamicUser и setcap -- им, безусловно, место в start-stop-daemon.
Впрочем, если бы кому-то было не всё равно на динамический uid или setcap -- давно бы всё там было.
Будем реалистами: Леннарт запилил это чисто для себя любимого.
Для сумневающихся, объясняю:

root@indexer01:/lib/systemd# find . -name \*.service | wc -l
238
root@indexer01:/lib/systemd# grep -rin DynamicUser= .
./system/systemd-timesyncd.service:28:DynamicUser=yes
root@indexer01:/lib/systemd# grep -rin AmbientCapabilities= .
./system/systemd-resolved.service:30:AmbientCapabilities=CAP_SETPCAP CAP_NET_RAW CAP_NET_BIND_SERVICE
./system/systemd-networkd.service:29:AmbientCapabilities=CAP_NET_ADMIN CAP_NET_BIND_SERVICE CAP_NET_BROADCAST CAP_NET_RAW
./system/systemd-timesyncd.service:30:AmbientCapabilities=CAP_SYS_TIME
Всё. Из 238 сервисов только 4 используют это. И те -- systemd-шные.
> В остальном, результат будет конечно же одинаковый — endlessh запущенный от nobody и слушающий порт 22.
Ну, вообще-то... DynamicUser и специальный юзер nobody -- это несколько разные вещи... Но в целом да, почти тот же фиг.

Исходное сообщение
"Endlessh - фиктивный SSH-сервер для борьбы с перебором парол..." Отправлено freehck, 26-Мрт-19 07:56
> setcap даёт cap_net_bind_service перманентно <...> Ну я на самом деле утрирую. Вещи типа DynamicUser и setcap -- им, безусловно, место в start-stop-daemon. Впрочем, если бы кому-то было не всё равно на динамический uid или setcap -- давно бы всё там было. Будем реалистами: Леннарт запилил это чисто для себя любимого. Для сумневающихся, объясняю: root@indexer01:/lib/systemd# find . -name \*.service \| wc -l 238 root@indexer01:/lib/systemd# grep -rin DynamicUser= . ./system/systemd-timesyncd.service:28:DynamicUser=yes root@indexer01:/lib/systemd# grep -rin AmbientCapabilities= . ./system/systemd-resolved.service:30:AmbientCapabilities=CAP_SETPCAP CAP_NET_RAW CAP_NET_BIND_SERVICE ./system/systemd-networkd.service:29:AmbientCapabilities=CAP_NET_ADMIN CAP_NET_BIND_SERVICE CAP_NET_BROADCAST CAP_NET_RAW ./system/systemd-timesyncd.service:30:AmbientCapabilities=CAP_SYS_TIME Всё. Из 238 сервисов только 4 используют это. И те -- systemd-шные. > В остальном, результат будет конечно же одинаковый — endlessh запущенный от nobody и слушающий порт 22. Ну, вообще-то... DynamicUser и специальный юзер nobody -- это несколько разные вещи... Но в целом да, почти тот же фиг.

Ваше сообщение
Имя*:
EMail:	Для отправки ответов на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:
	Введите код, изображенный на картинке:

При общении не допускается: неуважительное отношение к собеседнику, хамство, унизительное обращение, ненормативная лексика, переход на личности, агрессивное поведение, обесценивание собеседника, провоцирование флейма голословными и заведомо ложными заявлениями. Не отвечайте на сообщения, явно нарушающие правила - удаляются не только сами нарушения, но и все ответы на них. Лог модерирования.

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру