Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Раздел полезных советов: Подготовка chroot-окружения в Debia..., auto_tips (ok), 19-Окт-09, (0) [смотреть все] Ещё неплохо создать etc hostssys и proc нужно просто монтирвать без rbindа такж, Nicknnn (ok), 11:14 , 19-Окт-09, (1) // итак, допустим apache таки ломанулиу нас dev есть конечно, а даже если и нет, т, pavel_simple (ok), 13:21 , 19-Окт-09, (2) // users webusergroups sbuildАпач, уж 100 лет как, без рута умеет работать Для , pavlinux (ok), 18:23 , 19-Окт-09, (4) // А чем плоха, к примеру, виртуалка под OpenVZ chroot хорош для мелких задач, а т, Pilat (ok), 19:00 , 19-Окт-09, (5) В применение изолированных сред, само название говорит за себя В изоляции д, pavlinux (ok), 19:54 , 19-Окт-09, (6) Не думаю что всё тка плохо OpenVZ держать не очень накладно, там расходы копееч, Pilat (ok), 20:15 , 19-Окт-09, (7) Правильный chroot это runtime chroot, т е по мере необходимости Пришёл конн, pavlinux (ok), 20:55 , 19-Окт-09, (8) В идеальном мире да А в реальном , Pilat (ok), 22:34 , 19-Окт-09, (9) Никому не нужно Написать гибрид xinetd fork chroot не долго , pavlinux (ok), 00:49 , 20-Окт-09, (10) Ну и нафига такой пример , Pilat (ok), 02:22 , 20-Окт-09, (11) есть такой апач Apache 2 ITK MPM и Peruser MPM, но всё не так просто, как кажет, shutdown now (?), 22:30 , 21-Окт-09, (14) И в чем эта накладность состоит Оно не виртуаль в общем то, а просто резатель р, User294 (ok), 05:36 , 23-Окт-09, (15) А зачем создавать полное окружение - нужно все-голишь чтобы сервис умел запускат, mma (?), 07:56 , 20-Окт-09, (12) // но при этом чрут сам посебе не назовешь полноценной изоляцией, нужно как минимум, mma (?), 07:58 , 20-Окт-09, (13)   // А с каких пор CAP_SYS_CHROOT есть у кого-то, кроме рута , sjinks (?), 15:44 , 23-Окт-09, (16)   // я не правильно выразился, но суть думаю понятна как можно выйти за пределы chroo, mma (?), 19:12 , 23-Окт-09, (17)   Без рутовых привилегий и при условии, что у демона нет открытых файлов каталогов, sjinks (?), 17:11 , 24-Окт-09, (18)   chroot в chroot и fchdirОт этого ведб стандартными способами не защитишся, mma (?), 19:36 , 24-Окт-09, (19)   Да, только второй chroot можно сделать, если у демона есть CAP_SYS_CHROOT т е, sjinks (?), 20:02 , 24-Окт-09, (20)   вы не написали зачем все это надо, какие преимущества и недостатки вкрадце ввод, jura12 (??), 04:14 , 13-Ноя-09, (21) 1,12,21

Сообщения

[Сортировка по времени | RSS]

	13. "Подготовка chroot-окружения в Debian или Ubuntu"	+/–
	Сообщение от mma (?), 20-Окт-09, 07:58
	но при этом чрут сам посебе не назовешь полноценной изоляцией, нужно как минимум запретить чрутитьтся всем кроме root (ну и еще какие то мелочи не помню), поэтому без grsecurity или selinux  чрут сам по себе только усложняет жизнь взломщику но не предотращает взлом
	Ответить | Правка | Наверх | Cообщить модератору

	16. "Подготовка chroot-окружения в Debian или Ubuntu"	+/–
	Сообщение от sjinks (?), 23-Окт-09, 15:44
	> нужно как минимум запретить чрутитьтся всем кроме root А с каких пор CAP_SYS_CHROOT есть у кого-то, кроме рута?
	Ответить | Правка | Наверх | Cообщить модератору

	17. "Подготовка chroot-окружения в Debian или Ubuntu"	+/–
	Сообщение от mma (?), 23-Окт-09, 19:12
	я не правильно выразился, но суть думаю понятна как можно выйти за пределы chroot и почему он не особо полезен без подсистем безопасности?
	Ответить | Правка | Наверх | Cообщить модератору

	18. "Подготовка chroot-окружения в Debian или Ubuntu"	+/–
	Сообщение от sjinks (?), 24-Окт-09, 17:11
	>я не правильно выразился, но суть думаю понятна как можно выйти за >пределы chroot Без рутовых привилегий и при условии, что у демона нет открытых файлов/каталогов вне chroot это всё же проблематично. >и почему он не особо полезен без подсистем безопасности? chroot изначально не проектировался как средство безопасности. Тем не менее, chroot() + chdir() + setuid() = неплохой дополнительный барьер для хакера.
	Ответить | Правка | Наверх | Cообщить модератору

	19. "Подготовка chroot-окружения в Debian или Ubuntu"	+/–
	Сообщение от mma (?), 24-Окт-09, 19:36
	chroot в chroot  и fchdir От этого ведб стандартными способами не защитишся
	Ответить | Правка | Наверх | Cообщить модератору

	20. "Подготовка chroot-окружения в Debian или Ubuntu"	+/–
	Сообщение от sjinks (?), 24-Окт-09, 20:02
	>chroot в chroot и fchdir > >От этого ведб стандартными способами не защитишся Да, только второй chroot() можно сделать, если у демона есть CAP_SYS_CHROOT (т.е. если демон под рутом сидит). Обычный пользователь делать chroot() не умеет. http://linux.die.net/man/2/chroot
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема