Исходное сообщение
"Серия уязвимостей в ядре OpenBSD" Отправлено Аноним, 27-Июл-16 03:18
>> Если атакующий может положить свой файл в ФС (а это требуется, чтобы >> пользователь ввёл "sudo" и запустил при этом что-то левое)... >> ... то он может перезаписать ~/.profile... >> Так что, получается, ~/bin в конце $PATH — не панацея, а так, >> защита от script kiddies. Не? > Вообще-то я писал об этом в заметке блога во 2-м пункте - > необходимо сменить пользователя файлов .bashrc и .profile и запретить запись другим. > Неудобно, когда нужно редактировать, но это редко случается. А это уже слишком неудобно. Чрезмерно неудобное же будет проигнорировано — закон жизни. К тому же всё равно не спасёт: возможность писать в ФС от имени пользователя даёт массу других возможностей. Особенно на десктопе, где используется масса ПО различной степени дырявости (зачастую ещё и не обновляемом — особенно этим страдают как раз пользователи *nix, среди которых многие уверены, что бояться им нечего). И которому ПО только дай повод прочитать какой-нибудь специально покорёженный файл, чтобы позволить выполнить произвольный код... А там уже можно и, скажем, системный хоткей переназначить на «свою программу», и окно терминала обернуть в своё, забирая весь клавиатурный ввод, и вообще всё, что угодно. И это у меня ещё с фантазией плохо. Так что сценарий «наш процесс взломали» сам по себе уже является финитой. Тут могут помогать разве что средства вроде Linux capabilities или OpenBSD-шного pledge.