Cum se instalează Anchor CMS pe un VPS Fedora 26 LAMP
Folosind un sistem diferit? Anchor CMS este un motor de blog de sistem de gestionare a conținutului (CMS) super-simplu și extrem de ușor, gratuit și deschis
Lucrul cu Capabilități Linux
Introducere
Capabilitățile Linux sunt atribute speciale în nucleul Linux care acordă procese și privilegii specifice executabile binare, care sunt rezervate în mod normal proceselor al căror ID de utilizator efectiv este 0 (Utilizatorul root, și numai utilizatorul root, are UID 0).
Acest articol va explica unele dintre capabilitățile disponibile, utilizările lor și cum să le setați și să le eliminați. Vă rugăm să rețineți că setarea funcțiilor pe executabile are potențialul de a compromite securitatea sistemului. Ca atare, ar trebui să luați în considerare testarea pe un sistem care nu este de producție înainte de a implementa capabilități în producție.
Cerințe preliminare
- Un sistem Linux pe care aveți acces root (fie prin intermediul utilizatorului root, fie al unui utilizator cu acces sudo).
Explicaţie
În esență, obiectivul capabilităților este împărțirea puterii „rădăcinii” în privilegii specifice, astfel încât, dacă este exploatat un proces sau un binar care are una sau mai multe capacități, daunele potențiale sunt limitate în comparație cu același proces care rulează ca root.
Capabilitățile pot fi setate pe procese și fișiere executabile. Un proces rezultat din executarea unui fișier poate câștiga capabilitățile acelui fișier.
Capacitățile implementate pe Linux sunt numeroase și multe au fost adăugate de la lansarea inițială. Unele dintre ele sunt următoarele:
CAP_CHOWN: Modificați ID-ul de utilizator și ID-ul de grup al fișierelorCAP_DAC_OVERRIDE: Anulează DAC (control de acces discreționar). De exemplu, vto ocolesc citirea / scrierea / executarea verificărilor de permisiuni.CAP_KILL: Verifică permisiunile de ocolire pentru trimiterea de semnale la procese.CAP_SYS_NICE: Creșteți aspectul proceselor ( O explicație a bunătății poate fi găsită aici )CAP_SYS_TIME: Setați sistemul și ceasul hardware în timp real
Pentru lista completă, executați man 7 capabilities.
Capabilitățile sunt atribuite în seturi, și anume „permise”, „moștenitoare”, „eficiente” și „ambientale” pentru fire și „permise”, „moștenite” și „eficiente” pentru fișiere. Aceste seturi definesc diferite comportamente complexe, explicația lor completă este dincolo de sfera acestui articol.
Atunci când setăm capabilitățile pe fișier, vom folosi aproape întotdeauna „permis” și „eficient”, de exemplu CAP_DAC_OVERRIDE+ep. Observați +ep, care indică seturile menționate mai sus.
Lucrul cu funcțiile fișierelor
Pachetele obligatorii
Există două instrumente principale, getcapși setcapcare se pot vizualiza , respectiv , și a stabilit aceste atribute.
- Pe Debian și Ubuntu, aceste instrumente sunt furnizate de
libcap2-binpachet, care poate fi instalat cu:apt install libcap2-bin - Pe CentOS și Fedora,
libcappachetul este necesar:yum install libcap - Pe Arch Linux, acestea sunt furnizate
libcapși de:pacman -S libcap
Capacități de citire
Pentru a vedea dacă un fișier are o setare de capabilități, puteți rula pur și simplu getcap /full/path/to/binary, de exemplu:
root@demo:~# getcap /usr/bin/ping
/usr/bin/ping = cap_net_raw+ep
root@demo:~# getcap /usr/bin/rcp
/usr/bin/rcp = cap_net_bind_service+ep
Dacă doriți să aflați ce funcții sunt deja setate pe sistemul dvs., puteți căuta în întregul sistem de fișiere recursiv cu următoarea comandă:
getcap -r /
Datorită faptului că sistemele de fișiere virtuale (cum ar fi /proc) nu acceptă aceste operațiuni, comanda de mai sus va produce mii de erori, deci pentru o ieșire mai curată, folosiți următoarele:
getcap -r / 2>/dev/null
Atribuirea și eliminarea capabilităților
Pentru a seta o anumită capacitate într-un fișier, utilizați setcap "capability_string" /path/to/file.
Pentru a elimina toate funcțiile dintr-un fișier, utilizați setcap -r /path/to/file.
Pentru demonstrație, vom crea un fișier gol în directorul curent, îi vom oferi o capacitate și îl vom elimina. Începeți cu următoarele:
root@demo:~# touch testfile
root@demo:~# getcap testfile
A doua comandă nu produce nici o ieșire, ceea ce înseamnă că acest fișier nu are nicio capacitate.
Apoi, setați o capacitate pentru fișier:
root@demo:~# setcap "CAP_CHOWN+ep" testfile
root@demo:~# getcap testfile
testfile = cap_chown+ep
„CAP_CHOWN + ep” a fost folosit ca exemplu, dar oricare altul poate fi atribuit în acest mod.
Acum, eliminați toate funcțiile din testfile:
root@demo:~# setcap -r testfile
root@demo:~# getcap testfile
Din nou, nu va exista nicio ieșire, deoarece „CAP_CHOWN + ep” a fost eliminat.
Concluzie
Capabilitățile au numeroase utilizări potențiale și pot ajuta la întărirea securității sistemelor dvs. Dacă utilizați bitul SUID pe executabilii dvs., luați în considerare înlocuirea acestuia cu capacitatea specifică necesară.
Configurare partajare NFS pe Debian
NFS este un sistem de fișiere bazat pe rețea care permite computerelor să acceseze fișiere într-o rețea de calculatoare. Acest ghid explică modul în care puteți expune folderele peste NF
Configurați un server TeamTalk pe Linux
TeamTalk este un sistem de conferințe care permite utilizatorilor să aibă conversații audio / video de înaltă calitate, chat de text, transfer de fișiere și partajare ecrane. Este
Folosind cheia SSH pentru a vă conecta la utilizatori non-root
Vultr oferă o caracteristică care vă permite să preinstalați cheile SSH la crearea unei noi instanțe. Acest lucru vă permite să accesați utilizatorul root al serverelor, totuși
Cum se instalează Ranger Terminal File Manager pe Linux
Ranger este un manager de fișiere bazat pe linia de comandă cu legături de cheie VI. Oferă o interfață de blestem minimalistă și frumoasă, cu o vedere asupra ierarhiei de directoare
Cum se instalează Redmine pe Ubuntu 16.04
Folosind un sistem diferit? Redmine este un instrument gratuit și deschis de gestionare a proiectelor bazat pe web. Este scris în Ruby on Rails și acceptă mai multe baze de date
Instalare RethinkDB Cluster pe CentOS 7
Introducere RethinkDB este o bază de date NoSQL care stochează date sub formă de documente JSON. Are un limbaj de interogare super intuitiv și are funcții disponibile în mod obișnuit
Cum se construiește Brotli din sursă pe Ubuntu 18.04 LTS
Folosind un sistem diferit? Brotli este o nouă metodă de compresie cu un raport de compresie mai bun decât GZIP. Codul sursă este găzduit public pe acest Githu
Configurarea conturilor de utilizator numai SFTP pe CentOS 7
În anumite ocazii, este posibil ca un administrator de sistem să aibă nevoie să creeze un cont de utilizator și să restricționeze accesul acestora la gestionarea propriilor fișiere prin sFTP, dar nu b
Utilizarea vizualizărilor MySQL pe Debian 7
Introducere MySQL are o caracteristică excelentă cunoscută sub numele de vizualizări. Vizualizările sunt interogări stocate. Gândiți-vă la ele ca la un alias pentru o întrebare altfel lungă. În acest ghid,
Cum se instalează Nginx 1.14 pe Arch Linux
Cerințe preliminare Un server Vultr care funcționează actualizat Arch Linux (vezi acest articol.) Acces Sudo. Comenzile care trebuie rulate ca root sunt prefixate de #. Th
Dezactivați sau restricționați conectarea rădăcină prin SSH pe Linux
Permiterea autentificării root pe SSH este de obicei considerată o practică slabă de securitate în întreaga industrie tehnologică. În schimb, puteți efectua administrativ sensibil
Cum se instalează Seafile Server pe Ubuntu 16.10
Folosind un sistem diferit? Seafile (versiunea comunității) este o soluție gratuită și deschisă de sincronizare și partajare a fișierelor, care este similară cu ownCloud. De-a lungul spiritului
Cum să compilați Nginx din sursă pe CentOS 7
Folosind un sistem diferit? NGINX poate fi utilizat ca server HTTP / HTTPS, server proxy invers, server proxy de poștă, echilibrator de sarcină, terminator TLS sau cachin
Cum se instalează Thelia 2.3 pe Debian 9
Folosind un sistem diferit? Thelia este un instrument open source pentru crearea de site-uri web pentru e-business și gestionarea conținutului online scris în PHP. Codul sursă Thelia i
Cum se instalează DokuWiki pe Ubuntu 16.04 LTS
Folosind un sistem diferit? DokuWiki este un program wiki open source scris în PHP care nu necesită o bază de date. Stochează date în fișiere text. DokuWik
Configurarea unui chroot pe Debian
Acest articol vă va învăța cum să configurați o închisoare chroot pe Debian. Presupun că utilizați Debian 7.x. Dacă executați Debian 6 sau 8, acest lucru poate funcționa, bine
Cum se instalează PiVPN pe Debian
Introducere Un mod ușor de a configura un server VPN pe Debian este cu PiVPN. PiVPN este un instalator și un pachet pentru OpenVPN. Creează comenzi simple pentru tine
Cum se instalează Chamilo 1.11.8 pe CentOS 7
Folosind un sistem diferit? Chamilo este un sistem gratuit și deschis de management al învățării (LMS), care este utilizat pe scară largă pentru educația online și colaborarea în echipă
Instalați Nginx, Wordpress și permiteți criptarea în minute cu EasyEngine pe Debian 8 sau Ubuntu 16.04
EasyEngine (ee) este un instrument Python care vă permite să gestionați ușor și automat site-urile Wordpress de pe Nginx. Folosind EasyEngine, nu va trebui să dați
O perspectivă asupra a 26 de tehnici de analiză a datelor mari: partea 1
O perspectivă asupra a 26 de tehnici de analiză a datelor mari: partea 1
6 lucruri extrem de nebunești despre Nintendo Switch
Mulți dintre voi cunoașteți Switch care va fi lansat în martie 2017 și noile sale funcții. Pentru cei care nu știu, am pregătit o listă de funcții care fac din „Switch” un „gadget obligatoriu”.
Promisiuni tehnologice care sunt încă nelivrate
Aștepți ca giganții tehnologiei să-și îndeplinească promisiunile? vezi ce a ramas nelivrat.
Funcționalitățile straturilor arhitecturii de referință pentru Big Data
Citiți blogul pentru a cunoaște diferitele straturi din Arhitectura Big Data și funcționalitățile acestora în cel mai simplu mod.
Cum poate AI să ducă automatizarea proceselor la următorul nivel?
Citiți asta pentru a afla cum devine populară inteligența artificială în rândul companiilor la scară mică și cum crește probabilitățile de a le face să crească și de a le oferi concurenților avantaje.
CAPTCHA: Cât timp poate rămâne o tehnică viabilă pentru distincția uman-AI?
CAPTCHA a devenit destul de dificil de rezolvat pentru utilizatori în ultimii ani. Va fi capabil să rămână eficient în detectarea spam-ului și a botului în viitor?
Singularitatea tehnologică: un viitor îndepărtat al civilizației umane?
Pe măsură ce Știința Evoluează într-un ritm rapid, preluând multe dintre eforturile noastre, crește și riscurile de a ne supune unei Singularități inexplicabile. Citiți, ce ar putea însemna singularitatea pentru noi.
Telemedicină și îngrijire medicală la distanță: viitorul este aici
Ce este telemedicina, îngrijirea medicală la distanță și impactul acesteia asupra generației viitoare? Este un loc bun sau nu în situația de pandemie? Citiți blogul pentru a găsi o vedere!
Te-ai întrebat vreodată cum câștigă hackerii bani?
Poate ați auzit că hackerii câștigă mulți bani, dar v-ați întrebat vreodată cum câștigă acești bani? sa discutam.
Actualizarea suplimentului macOS Catalina 10.15.4 cauzează mai multe probleme decât rezolvă
Recent, Apple a lansat macOS Catalina 10.15.4 o actualizare suplimentară pentru a remedia problemele, dar se pare că actualizarea provoacă mai multe probleme care duc la blocarea mașinilor Mac. Citiți acest articol pentru a afla mai multe