Исходное сообщение
"Выявлен новый rootkit для Linux, осуществляющий подстановку ..." Отправлено коксюзер, 22-Ноя-12 09:43
> Проблемки только вот в чем: > 1) Вариантов монтирования разделов - туева хуча. Писать полновесный парсер который осознает > как и где монтируется желаемый путь и его правильный и однозначный > ремоунт - не сильно тривиально. Посмотреть в /proc/mounts (или список разделов внутри ядра) и перемонтировать для записи раздел, путь до точки монтирования которого является наиболее длинной частью пути до интересного файла - это разве нетривиально? > 2) Это утяжелит троян и потенциально повысит его паливность. Не утяжелит и не повысит. > 3) Это лишь один из over 9000 фокусов которые может отколоть админ. > Вероятность что админ отколет именно этот фокус а не 9000 иных > - очень небольшая. На практике никто никаких фокусов не откалывает. Особенно таких, которые могут стать нетривиальной помехой для взломщика, но не для системных задач (обновление ПО на read-only разделе - пример такой задачи). > 4) А что если админ оказался чуть более козел и допустим squashfs > юзанул? Если уж ему хотелось глухое readonly - это можно. А > теперь попробуйте заремаунтить... :) Админ может оказаться ещё более хитрым перцем и выдернуть из розетки кабель питания сервера. Много лично вы настроили или хотя бы видели Debian-серверов с / на read-only разделе? Риторический вопрос.