Здравствуйте, Cyberax, Вы писали:
C>aka50 wrote:
>> C>проще поставить *трояна на _мой_ компьютер*. >> C>Еще раз: какие есть проблемы в данной схеме? Чем она хуже ssh+sftp? >> C>Стойкость шифров считаем одинаковой. >> Выделено жирным. При такой схеме трояном можно запросто подменить любой >> файл в системе на нужный.
C>Для этого троян должен знать путь к диску на сервере.
Нафиг? Он это в браузере увидит. А дальше просто //MYSUPERCOMP/etc/passwd
>> При использовании ssh-ftp еще придется попотететь, особенно если >> сервера недоступны извне.
C>Однако, если кто-то умудрится поставить троян мне на компьютер, то у C>него уже есть доступ в мою сеть, соответственно никакие ssh уже не помогут.
Зачем ему доступ в твою сеть? Ты можешь хоть за сотней checkpoint-в сидеть,
троян выйдет через http.
>> Более того если это еще и в домен входит виндовый, то это можно делать >> с любой машины в сети. Тот же древний BO справится >> с этим в 2 минуты. И если у тебя нет hashdb дергалки, то это не значит >> что ее >> нет и ее сложно написать. (особенно учитывая что под виндой все тоже >> кругом root-ы)
C>Можно, называется L0phtCrack. Однако, база паролей защищена правами C>системного аккаунта. Конечно, это можно обойти с помощью C>имперсонированого процесса, но это уже тоже сложно.
Для профессионала это не будет сложно. Всегда есть local Admin.
>> 2. Гипотетическому хакеру нужно запустить из-под трояна ssh и зайти >> туда. При этом >> ему надо будет пробросить некое подобие соединения.
C>Ээээ... Про scp слышал?
И? Чем ему поможет scp если под рутом вход запрещен? (в твоем случае
действительно из под рута по scp без проблем). Сотрет мне .profile?
>> В случае с smb — все просто, это полноценная файловая система. Пиши >> куда хочешь и чего хочешь. Да и в браузинге >> сам говоришь светится. Так что проблем не возникнет.
C>Светится только сам сервер и _публичные_ шары. Закрытые шары — не браузятся.
Да пофигу. http://www.rawlogic.com/netview/
NetBrute shows hidden resources using the, so-called obsolete, Microsoft NetShareEnum API call. This feature allows you to see hidden resources, special resources like the hidden "PRINTER$" resource, system drives, and the IPC resource. If this new feature doesn't yield satisfactory results, revert to the previous method by unchecking NetShareEnum in the Options menu.
C>? Only trusted individuals should be granted Administrator privileges
C>on the system.
C>? The Administrator account should not be intended for casual use.
C>? The Administrator account should only be used to administer the
C>network or domain.
C>? The Domain controllers should be physically secured.
C>? Maintain a strong password policy. See
C>http://www.microsoft.com/security/default.asp.
C>(http://www.microsoft.com/security/default.asp)
C>? Rename the Administrator account.
C>? Never run untrusted programs while logged in as Administrator.
C>Как ни странно, я соблюдаю отсюда все пункты (ну кроме физической защиты C>контроллера домена).
The Administrator account should not be intended for casual use.
Предоставление как шары всего диска — это и есть использование
casual use. Под рутом должны выполняться только определенные программы.
В худшем случае sudo su.
Never run untrusted programs while logged in as Administrator.
Samba — untrusted. ssh тоже можно назвать untrusted, но это родная вещь
для юнксов, самба чужеродная. По большому счету все программы untrusted,
по этому в нормальных системах все сервисы работают под своими пользователями
и по возможности в chroot и/или jail.
>> А клавивиатурный сниффер лечится www.alladin.ru <http://www.alladin.ru>. C>Точно так же он может быть использован и для NTLM-авторизации.
Опять повторяю: самба некотролируема в плане остаточного монтирования и кеширования
пароля. ssh запускаетcя из шела. рута можно получить только через sudo уже в шеле.
Запрос пароля в ssh производится через консоль и не допускает скриптования
(хотя можно конечно, через expect, но доп гимор).
>> А вот запоминание самбой пароля (или если просто забыть отмонтировать >> диск) практически не лечится.
C>Достаточно просто НЕ монтировать диск — FAR поддерживает UNC-пути.
Винда обязан примонтировать неявно. Иначе каким образом будет работать
файловая система (т.е. если нет монтирования как будем файлик
редактировать и любимые виндой локи расставлять?) Иначе будет работать
как ftp, прицепился, выкачал, отцепился.
Попробуй, к стати, посмотреть net view когда работаешь из фара. Должны
быть видны эти ресурсы. (не уверен, т.к. этим не сильно интересовался).
Kemm wrote:
> *ИК* Я про root'а забываю как про страшный сон сразу после установки > sudo. Потратить четверть секунды на набор 'sudo ' мне не лень. > А sudo ставится во вторую очередь. (Я про FreeBSD в данном случае. > В первую -- cvsup и сразу обновление системы, после чего уже можно > какие-то сервисы открывать наружу)
Ну и какая разница между рутом и sudo? Просто секрет смещается с пароля
рута на твой собственный пароль. Узнав твой пароль, злоумышелнник точно
так же получит рутовый доступ к системе.
> C>А про "не пускать сразу под рутом" и т.п. — я _лично_ взламывал с > C>помощью самописного сниффера аккаунты root'ов. Просто ловил нажатие > sudo > C>и логгировал 100 клавиш после этого. Так что все эти "не пускать > рута" — > C>полная чушь. > Сниффер клавиатуры? Без прав супервизора? Оррригинально.
Да. Подходил к компу админа, вставлял дискету и нажимал enter на
exe-файле. Если бы комп у админа был не под Windows, то было бы еще
проще — я бы просто добавил "магический скрипт" в .bashrc.
> Если есть способ избежать лишних проблем -- зачем им пренебрегать-то > вот так вот сразу? Под виндой тоже администратором сидите?
Я _не_ вижу, какие проблемы (кроме удобного администрирования) решаются
запретом smb. Может быть расскажете, наконец?
Здравствуйте, Cyberax, Вы писали:
C>Kemm wrote:
>> [злостно поскипано] >> Ей-богу, странно после этого читать про администрирование >> юникс-серверов 10 лет.
C>Опять мешает религия, да?
>>>> по умолчанию sshd не пускает рута. >> C>Пускает, на многих дистрибутивах. >> Это личные половые трудности этих дистрибутивов. В *BSD не пускает ни >> в каких. И это правильно. По этому поводу спор был где-то в RU.UNIX.BSD
C>Это "Миф о ненадежности пускания рута по ssh" или я чего-то пропустил? C>Так там все сошлось к тому, что атакующему кроме пароля рута еще и логин C>придется подбирать. За возможность подбора своего пароля перебором я не C>боюсь.
а как же сниффер? Под виндой даже админских прав не надо чтоб сниферить.
C>А про "не пускать сразу под рутом" и т.п. — я _лично_ взламывал с C>помощью самописного сниффера аккаунты root'ов. Просто ловил нажатие sudo C>и логгировал 100 клавиш после этого. Так что все эти "не пускать рута" — C>полная чушь.
Ну у меня судо по другому зовется . А cmd.exe (если уж приходится из под винды
) не так просто перехватить. Токо через драйвер, но тут нужны опять же админские
права (которых у меня под виндой не бывает, а у тебя есть). И собственно не поделишься,
как бы засниферить из одной консоли другую из под обычного юзера? .
(всякие tty примочки не прделагать, именно я стартую процесс из под себя и он ловит
все что я ввожу в другой пусть и моей консоли).
C>Для действительно серьезной защиты нужно использовать аппаратные C>средства, типа smart-карт и т.п.
Тут согласен. Но при этом это не спасет от неявного монтирования .
Любое обращение трояна из под тебя к защищенному ресурсу незаметно
опросит smartкарту и получит доступ . (можно конечно сделать чтоб
она вопила об этом при любой попытке, но обычно это будет отключена
"а нафига мне это, я и так супер защищен vpn + сейф + плюс охранник)
aka50 wrote:
> C>Для этого троян должен знать путь к диску на сервере. > Нафиг? Он это в браузере увидит. А дальше просто //MYSUPERCOMP/etc/passwd
_НЕ_ _УВИДИТ_. Я раза 3 сказал, что браузинг этой шары — запрещен, нужно
знать ее точное имя.
> C>Однако, если кто-то умудрится поставить троян мне на компьютер, то у > C>него уже есть доступ в мою сеть, соответственно никакие ssh уже не > помогут. > Зачем ему доступ в твою сеть? Ты можешь хоть за сотней checkpoint-в > сидеть, > троян выйдет через http.
Что мешает злоумышленику использовать сниффер через этот троян? Это еще
BackOrifice умел.
> C>Можно, называется L0phtCrack. Однако, база паролей защищена правами > C>системного аккаунта. Конечно, это можно обойти с помощью > C>имперсонированого процесса, но это уже тоже сложно. > Для профессионала это не будет сложно. Всегда есть local Admin.
Файл с паролями заблокирован системеным процессом, чтобы прочесть его,
придется имперсонировать процесс от имени пользователя system (аккаунт
system — это вовсе не администраторский) и inject'нуть вражеский код в
процесс, который держит файл авторизации.
Все это делается весьма непросто, и готовых утилит для этого нет.
Ну а если злоумышленик имеет полный доступ к моему компу и обладает
знаниями как прочесть базу паролей — то уже можно не беспокоиться о том,
что банальный пароль по ssh он не сможет перехватить.
> C>Ээээ... Про scp слышал? > И? Чем ему поможет scp если под рутом вход запрещен? (в твоем случае > действительно из под рута по scp без проблем). Сотрет мне .profile?
Нет, добавит в .bashrc изменение path так, чтобы он указывал на
"правильный" sudo.
> C>Светится только сам сервер и _публичные_ шары. Закрытые шары — не > браузятся. > Да пофигу. http://www.rawlogic.com/netview/ > NetBrute shows hidden resources using the, so-called obsolete, > Microsoft NetShareEnum API call. This feature allows you to see hidden > resources, special resources like the hidden "PRINTER$" resource, > system drives, and the IPC resource. If this new feature doesn't yield > satisfactory results, revert to the previous method by unchecking > NetShareEnum in the Options menu.
Зато я помню, как наш сервак именно через ssh и поломали. Кстати, samba
наружу не смотрит.
> C>Как ни странно, я соблюдаю отсюда все пункты (ну кроме физической > защиты > C>контроллера домена). > The Administrator account should not be intended for casual use. > Предоставление как шары всего диска — это и есть использование > casual use. Под рутом должны выполняться только определенные программы.
Ну так я не использую админовскую шару для копирования фильмов и
музыки.
> Never run untrusted programs while logged in as Administrator. > Samba — untrusted. ssh тоже можно назвать untrusted, но это родная вещь > для юнксов, самба чужеродная.
Опять религия. ssh, кстати, это еще новая вещь (до 95 года даже открытых
реализаций его не было). _Настоящая_ юниксовая вещь — это telnet.
>>> А клавивиатурный сниффер лечится www.alladin.ru > <http://www.alladin.ru> <http://www.alladin.ru>. > C>Точно так же он может быть использован и для NTLM-авторизации. > Опять повторяю: самба некотролируема в плане остаточного монтирования > и кеширования > пароля.
Так же неконтролируема, как и sudo....
> Запрос пароля в ssh производится через консоль и не допускает скриптования > (хотя можно конечно, через expect, но доп гимор).
Уверен?
> C>Достаточно просто НЕ монтировать диск — FAR поддерживает UNC-пути. > Винда обязан примонтировать неявно. Иначе каким образом будет работать > файловая система (т.е. если нет монтирования как будем файлик > редактировать и любимые виндой локи расставлять?)
Так и работает — просто указываются UNC-пути для файлов. И ничего
монтировать не надо.
> Иначе будет работать как ftp, прицепился, выкачал, отцепился. > Попробуй, к стати, посмотреть net view когда работаешь из фара. Должны > быть видны эти ресурсы. (не уверен, т.к. этим не сильно интересовался).
Нет, не видны. При желании, есть API, которое позволяет перечислить
открытые в данный момент соединения, но ни один известный мне троян этим
не пользуется. С таким же успехом можно ожидать трояна, который будет
ожидать команды sudo внутри putty, а потом быстро набирать в putty
что-то типа "sudo nohup rm -Rf / &".
Здравствуйте, Cyberax, Вы писали:
>> C>А про "не пускать сразу под рутом" и т.п. — я _лично_ взламывал с >> C>помощью самописного сниффера аккаунты root'ов. Просто ловил нажатие >> sudo >> C>и логгировал 100 клавиш после этого. Так что все эти "не пускать >> рута" — >> C>полная чушь. >> Сниффер клавиатуры? Без прав супервизора? Оррригинально.
C>Да. Подходил к компу админа, вставлял дискету и нажимал enter на C>exe-файле. Если бы комп у админа был не под Windows, то было бы еще C>проще — я бы просто добавил "магический скрипт" в .bashrc.
Позвольте полюбопытсвовать 2 вопроса:
1. Под виндой не под админом как в cmd.exe перехватываем?
2. Чего ж такого этот магический скрипт делает? zsh | tie 2>&1 > /var/tmp/sniff`date`?
И еще вопрос? а каким образом на машину то попадаем чтоб с дискетки чтонить
скопировать? Может тогда это уже нафиг не надо, сразу рута узнать?
>> Если есть способ избежать лишних проблем -- зачем им пренебрегать-то >> вот так вот сразу? Под виндой тоже администратором сидите?
C>Я _не_ вижу, какие проблемы (кроме удобного администрирования) решаются C>запретом smb. Может быть расскажете, наконец?
Блин. Как разговор со слепым о красоте мира .
Удобство для тебя == удобство для злоумышленника. Чем больше у тебя сложностей,
тем сложнее ему. Если уж другие доводы до тебя не доходят.
aka50 wrote:
> C>Да. Подходил к компу админа, вставлял дискету и нажимал enter на > C>exe-файле. Если бы комп у админа был не под Windows, то было бы еще > C>проще — я бы просто добавил "магический скрипт" в .bashrc. > Позвольте полюбопытсвовать 2 вопроса: > 1. Под виндой не под админом как в cmd.exe перехватываем?
То есть? Не понял вопроса.
> 2. Чего ж такого этот магический скрипт делает? zsh | tie 2>&1 > > /var/tmp/sniff`date`?
Нет, изменяет path так, чтобы запускался фальшивый sudo. Ну и много чего
еще можно придумать, если стоят какие-нибудь системы реакции на вторжения.
> И еще вопрос? а каким образом на машину то попадаем чтоб с дискетки > чтонить > скопировать? Может тогда это уже нафиг не надо, сразу рута узнать?
А какая разница? Я просто физически к машине подходил, но это мог бы
быть и троян, который дает возможность удаленного управления.
> C>Я _не_ вижу, какие проблемы (кроме удобного администрирования) решаются > C>запретом smb. Может быть расскажете, наконец? > Блин. Как разговор со слепым о красоте мира . > Удобство для тебя == удобство для злоумышленника. Чем больше у тебя > сложностей, > тем сложнее ему. Если уж другие доводы до тебя не доходят.
Поэтому доступ для root'а должен быть _только_ с консоли, находящейся за
железной решеткой, охраняемой людьми с автоматами.
Здравствуйте, Cyberax, Вы писали:
C>aka50 wrote:
C>Что мешает злоумышленику использовать сниффер через этот троян? Это еще C>BackOrifice умел.
cmd.exe не снифферится.
>> C>Можно, называется L0phtCrack. Однако, база паролей защищена правами >> C>системного аккаунта. Конечно, это можно обойти с помощью >> C>имперсонированого процесса, но это уже тоже сложно. >> Для профессионала это не будет сложно. Всегда есть local Admin.
C>Файл с паролями заблокирован системеным процессом, чтобы прочесть его, C>придется имперсонировать процесс от имени пользователя system (аккаунт C>system — это вовсе не администраторский) и inject'нуть вражеский код в C>процесс, который держит файл авторизации.
C>Все это делается весьма непросто, и готовых утилит для этого нет.
CreateRemoteThread хакеру в помощь. Не преусложняй. Если чего-то нет в
публичном доступе не надо думать что этого никто не знает как это сделать .
От скрипткидисов может и поможет. От профессионала нет. Если есть хоть
маленькая возможность, он ее не упустит.
>> C>Ээээ... Про scp слышал? >> И? Чем ему поможет scp если под рутом вход запрещен? (в твоем случае >> действительно из под рута по scp без проблем). Сотрет мне .profile?
C>Нет, добавит в .bashrc изменение path так, чтобы он указывал на C>"правильный" sudo.
У меня sudo — это функция шела которая вызывает по полному пути. У меня
не пройдет. Плюс к тому ему надо вызвать потом родной sudo. При этом
придется "правильный" судо писать на expect. Иначе ничего не получится.
C>Я не сказал "скрытые", я сказал "закрытые" ("browseable = no" для шары). C>Для тех, кто не в курсе — они ВООБЩЕ не видны из браузера сети. Ну а C>скрытые шары и FAR показывать умеет.
Ладно... с закрытыми действительно не проканает.
>> C>http://www.google.ru/search?hl=ru&q=ssh+exploit&btnG=%D0%9F%D0%BE%D0%B8%D1%81%D0%BA+%D0%B2+Google&lr= >> <http://www.google.ru/search?hl=ru&q=ssh+exploit&btnG=%D0%9F%D0%BE%D0%B8%D1%81%D0%BA+%D0%B2+Google&lr=> >> Ты год видел? >> root ssh exploit 2003-09-16 11:15:48.009624-07 >> Samba integer overflow updated since 16.12.2004
C>Зато я помню, как наш сервак именно через ssh и поломали. Кстати, samba C>наружу не смотрит.
Апдейты надо ставить. И пользовать от OpenBSD. ssh exploit-ов было всего два
и патчи выходили практически сразу. И более того, нефиг ssh открывать в инет.
tcpwrapper в помощь. Правда тоже самое можно и самбой сделать. Но
с root проблемой это перпендикулярно.
>> The Administrator account should not be intended for casual use. >> Предоставление как шары всего диска — это и есть использование >> casual use. Под рутом должны выполняться только определенные программы.
C>Ну так я не использую админовскую шару для копирования фильмов и C>музыки.
А кто это контролирует? sudo можно обучить запускать только определенные тулзы.
кто это будет smb объяснять если она под root? В понимании security officer
это именно casual use.
>> Never run untrusted programs while logged in as Administrator. >> Samba — untrusted. ssh тоже можно назвать untrusted, но это родная вещь >> для юнксов, самба чужеродная.
C>Опять религия. ssh, кстати, это еще новая вещь (до 95 года даже открытых C>реализаций его не было). _Настоящая_ юниксовая вещь — это telnet.
Ну да ... очень новая... всего то каких-то 11 лет. А то, что самба токо пару
лет назал начала нормально работать... да и сама по себе сложнее, значит
более подвержена багам (типа той же NFS).
>>>> А клавивиатурный сниффер лечится www.alladin.ru >> <http://www.alladin.ru> <http://www.alladin.ru>. >> C>Точно так же он может быть использован и для NTLM-авторизации. >> Опять повторяю: самба некотролируема в плане остаточного монтирования >> и кеширования >> пароля.
C>Так же неконтролируема, как и sudo....
Как это? Через sudo можно котролировать все. Например я могу webmaster-у
разрешить пререзапускать apache. Но больше ничего? Через samba как бум
делать? Ну и собственно пока ты работаешь в far я могу в трояне параллельно
тебе лазить и делать то что нужно. В ssh так не получится.
>> Запрос пароля в ssh производится через консоль и не допускает скриптования >> (хотя можно конечно, через expect, но доп гимор). C>Уверен?
Угу. Оно ругается если не консоль.
>> C>Достаточно просто НЕ монтировать диск — FAR поддерживает UNC-пути. >> Винда обязан примонтировать неявно. Иначе каким образом будет работать >> файловая система (т.е. если нет монтирования как будем файлик >> редактировать и любимые виндой локи расставлять?)
C>Так и работает — просто указываются UNC-пути для файлов. И ничего C>монтировать не надо.
Монтирование идет неявно... а не в диск D:. Все равно система должна
как-то отслеживать состояния файлов и т.д.
C>При желании, есть API, которое позволяет перечислить C>открытые в данный момент соединения, но ни один известный мне троян этим C>не пользуется.
И о чем это говорит? если тебе не извествен не надо держать хацкеров
за идиотов.
C> С таким же успехом можно ожидать трояна, который будет C>ожидать команды sudo внутри putty, а потом быстро набирать в putty C>что-то типа "sudo nohup rm -Rf / &".
А вот такого писать ... под все ssh клиенты будем писать или как?
Я вот могу из cmd.exe ssh.exe запустит. Или pytty из My documents.
Или SecureCRT. Есть еще много разных. А вот с самбой есть
одни великий API .
Здравствуйте, Cyberax, Вы писали:
C>aka50 wrote:
>> 1. Под виндой не под админом как в cmd.exe перехватываем? C>То есть? Не понял вопроса.
Ну так. Каким образом работает сниффер когда вводиться пароль в cmd.exe?
>> 2. Чего ж такого этот магический скрипт делает? zsh | tie 2>&1 > >> /var/tmp/sniff`date`?
C>Нет, изменяет path так, чтобы запускался фальшивый sudo. Ну и много чего C>еще можно придумать, если стоят какие-нибудь системы реакции на вторжения.
Как я сказал это лечится функциями шела с прямым вызовом. Да и привычка
набирать /sbin/ifconfig обычно такие шутки убивает.
>> И еще вопрос? а каким образом на машину то попадаем чтоб с дискетки >> чтонить >> скопировать? Может тогда это уже нафиг не надо, сразу рута узнать?
C>А какая разница? Я просто физически к машине подходил, но это мог бы C>быть и троян, который дает возможность удаленного управления.
Изменение файла .bashrc (а точнее .cshrc .zshrc .bashrc .profile etc)
может видеть fam. Более того, эти файлы у меня принадлежат руту. Я их
сам менять не могу .
C>Поэтому доступ для root'а должен быть _только_ с консоли, находящейся за C>железной решеткой, охраняемой людьми с автоматами. Недостижимый идеал.
Здравствуйте, Cyberax, Вы писали:
>> *ИК* Я про root'а забываю как про страшный сон сразу после установки >> sudo. Потратить четверть секунды на набор 'sudo ' мне не лень. >> А sudo ставится во вторую очередь. (Я про FreeBSD в данном случае. >> В первую -- cvsup и сразу обновление системы, после чего уже можно >> какие-то сервисы открывать наружу) C>Ну и какая разница между рутом и sudo? Просто секрет смещается с пароля C>рута на твой собственный пароль. Узнав твой пароль, злоумышелнник точно C>так же получит рутовый доступ к системе.
Большая. Я не работаю с правами супервизора постоянно. Только для некоторых
(достаточно редких) задач, где это необходимо.
>> C>А про "не пускать сразу под рутом" и т.п. — я _лично_ взламывал с >> C>помощью самописного сниффера аккаунты root'ов. Просто ловил нажатие >> sudo >> C>и логгировал 100 клавиш после этого. Так что все эти "не пускать >> рута" — >> C>полная чушь. >> Сниффер клавиатуры? Без прав супервизора? Оррригинально. C>Да. Подходил к компу админа, вставлял дискету и нажимал enter на C>exe-файле. Если бы комп у админа был не под Windows, то было бы еще C>проще — я бы просто добавил "магический скрипт" в .bashrc.
Это еще большая клиника. Если админ не лочит машину, при том, что к его
рабочему месту может кто-то подойти -- нафиг таких админов.
>> Если есть способ избежать лишних проблем -- зачем им пренебрегать-то >> вот так вот сразу? Под виндой тоже администратором сидите? C>Я _не_ вижу, какие проблемы (кроме удобного администрирования) решаются C>запретом smb. Может быть расскажете, наконец?
Я где-то говорил про запрет smb? Только вот к администрированию машины smb
имеет мало отношения.
Kemm wrote:
> C>Ну и какая разница между рутом и sudo? Просто секрет смещается с пароля > C>рута на твой собственный пароль. Узнав твой пароль, злоумышелнник точно > C>так же получит рутовый доступ к системе. > Большая. Я не работаю с правами супервизора постоянно. Только для > некоторых > (достаточно редких) задач, где это необходимо.
Ну так и у меня этот диск не всегда подключен, а только для особых
административных задач.
> C>Да. Подходил к компу админа, вставлял дискету и нажимал enter на > C>exe-файле. Если бы комп у админа был не под Windows, то было бы еще > C>проще — я бы просто добавил "магический скрипт" в .bashrc. > Это еще большая клиника. Если админ не лочит машину, при том, что к его > рабочему месту может кто-то подойти -- нафиг таких админов.
Все люди ошибаются и что-то иногда забывают.
> C>Я _не_ вижу, какие проблемы (кроме удобного администрирования) решаются > C>запретом smb. Может быть расскажете, наконец? > Я где-то говорил про запрет smb? Только вот к администрированию машины smb > имеет мало отношения.
Так мне не объяснили до конца, где в цепочке с smb+far более
небезопасное звено, чем в цепочке ssh+sftp. Оба варианта практически
невзламываемы без доступа к машине админа, оба варианта требуют
достаточно сложных троянов в случае взлома. Так в чем разница?
Здравствуйте, Cyberax, Вы писали:
>> C>Ну и какая разница между рутом и sudo? Просто секрет смещается с пароля >> C>рута на твой собственный пароль. Узнав твой пароль, злоумышелнник точно >> C>так же получит рутовый доступ к системе. >> Большая. Я не работаю с правами супервизора постоянно. Только для >> некоторых >> (достаточно редких) задач, где это необходимо. C>Ну так и у меня этот диск не всегда подключен, а только для особых C>административных задач.
Разницы в "выполнить только то, что необходимо, от рута" и
"выполнить все от рута" не видно? Ну тогда извините.
>> C>Да. Подходил к компу админа, вставлял дискету и нажимал enter на >> C>exe-файле. Если бы комп у админа был не под Windows, то было бы еще >> C>проще — я бы просто добавил "магический скрипт" в .bashrc. >> Это еще большая клиника. Если админ не лочит машину, при том, что к его >> рабочему месту может кто-то подойти -- нафиг таких админов. C>Все люди ошибаются и что-то иногда забывают.
Первый раз -- предупреждение. Второй -- снос хоума (с бэкапом -- пусть
попугается). Третий -- снос всего без бэкапа. Была такая хорошая практика
когда-то в ряде мест. Жаль, что не везде.
>> C>Я _не_ вижу, какие проблемы (кроме удобного администрирования) решаются >> C>запретом smb. Может быть расскажете, наконец? >> Я где-то говорил про запрет smb? Только вот к администрированию машины smb >> имеет мало отношения. C>Так мне не объяснили до конца, где в цепочке с smb+far более C>небезопасное звено, чем в цепочке ssh+sftp. Оба варианта практически C>невзламываемы без доступа к машине админа, оба варианта требуют C>достаточно сложных троянов в случае взлома. Так в чем разница?
Расскажите мне, как по smb перезапустить апач. Или по ssh лезть?
Тогда накойфиг добавлять еще одну возможную точку взлома, к тому же
поверх такого протокола?!
Здравствуйте, Cyberax, Вы писали:
C>Нет, изменяет path так, чтобы запускался фальшивый sudo. Ну и много чего C>еще можно придумать, если стоят какие-нибудь системы реакции на вторжения.
просто админ ОБЯЗАН выработать привычку писать ТОЛЬКО /bin/sudo.
и тогда обпридумывайся :)
Здравствуйте, jazzer, Вы писали:
J>Здравствуйте, Cyberax, Вы писали:
C>>Нет, изменяет path так, чтобы запускался фальшивый sudo. Ну и много чего C>>еще можно придумать, если стоят какие-нибудь системы реакции на вторжения.
J>просто админ ОБЯЗАН выработать привычку писать ТОЛЬКО /bin/sudo. J>и тогда обпридумывайся
Начали за здравие... кончили за упокой
Только ветку не грохайте всю — про vim и emacs оставте плз — я на досуге ссылочки промониторю
С уважением Denys Valchuk
IMHO чем больше мнений тем оптимальней выбор варианта... :)
Cyberax пишет:
> Да, к сожалению для С++ в *nix'ах нет VS. В основном из-за большой > сложности самого языка С++. А вот для Java/Python/C#/Perl аналоги VS > вполне себе существуют и чувствуют себя неплохо.
Назовите мне IDE для Perl кроме Komodo, которые были бы по возможностям
идентичны VS for C++.
jazzer wrote: > E>alias /bin/sudo=~/bin/evilsudo > E>Как минимум в zsh работает. > > блин, ну нельзя же так!
А command alias сразу после этого сработает? А программа должна отсылать
данные сразу — она будет обнаружена после первого обмана — sudo suid, и
очень не любит работать не с консоли. Или это легко исправить?
Здравствуйте, raskin, Вы писали:
R>А command alias сразу после этого сработает?
Если тут же из консоли повторить, то сразу. R> sudo suid, и R>очень не любит работать не с консоли. Или это легко исправить?
aka50 wrote: > R>А command alias сразу после этого сработает? > Если тут же из консоли повторить, то сразу.
Ой... Я тут сходил в zsh посмотрел... Вы правы.
Это чудо даёт перегрузить builtin, alias и полный путь. Хана какая-то.
Мечта хакера.
J>Иными словами, я рассматриваю ctags как то, что превращает любой редактор, который умеет с ним работать (даже не с ним, а с произведенными им файлами), в мини-IDE. На сегодняшний день такими редакторами ясляются vi с производными, emacs с производными, и NEdit. Наверняка еще кто-то есть.
а есть в Nedit файловый навигатор? + еще можно его на нормальныне шрифты настроить? (со сглаживанием)
еще интересует насколько он с latex ом интегрируется.
Веру-ю-у! В авиацию, в научную революци-ю-у, в механизацию сельского хозяйства, в космос и невесомость! Веру-ю-у! Ибо это объективно-о! (Шукшин)
. А cmd.exe (если уж приходится из под винды
. 
. 
Недостижимый идеал.
