Root privilegier ved web access

Jeg er ikke helt sikker på at jeg har forstået dig korrekt, men:

Normalt når en hacker går ind via port 80 og køre et exploit af, vil han enten få kontrol over maskinen med webbruger rettigheder eller system rettigheder. alt afhænig af hvir dit system så er konfigureret, er det forholdsvis let med forskellige utils at hæve rettighederne til root.

Jeg vil ikke totalt afvise at der kan findes exploits, der på en fejlkonfigureret (eller ovenikøbet på en korrekt konfigureret maskine) kan give adgang med root rettigheder fra starten

evt kan du se om du ikke kan give dig selv ret til at udføre programmet via sudoers

Jeg er ikke lige klar over hvad sudoers vil sige?

men jeg vil give bufferzone ret - det er en MEGET dårlig ide at give et webinterface root-adgang (hvis det da er det han siger - ellers står det for min egen regning).

desuden skyldes det nok at du ikke har ret til at læse fra /dev/mem

ls -l /dev/mem
crw-r-----    1 root    kmem      1,  1 Aug 31  2002 /dev/mem

står den til hos mig.

man sudo

sudo - execute a command as another user

Det jeg egentligt er kommet frem til nu er, at jeg får retten til at udføre programmet, men jeg får den før nævnte fejl når jeg gør det fra php af

crwxrwxrwx    1 root    root      1,  1 Nov 19  2001 mem

Jeg har givet /dev/mem alt hvad den kan trække, men det hjælper ikke

ja - dit problem er at programmet ikke har rettigheder til at læse /dev/mem - programmet skal udføres som root - hvis det er et oversat program kan du nok løse det ved at lave suid på programmet (chmod 2755 programnavn)

Det er et oversat program ja, - suid hjalp ikke!!

det du vil køre med root er ikke noget der kan tilrådes på nogen måde, prøv at give det program du vil have til at køre rettigheder til at køre i gruppe eks kmem, så prøv at sæt rettighederne på dit program til også at bruge den gruppe...


The Toastmaster

mfalck>Det er det jeg siger, omend ikke helt så klart som dig

ok :-) sudo er ikke et hack, men et program som følger med (i al fald redhat)