Почему top не требует root (могут ли программы без полномочий root видеть другие запущенные процессы)?
Я пытался выяснить, есть ли у приложения, которое не запускается от имени root, доступ к списку запущенных программ в системе. Я бы предположил, что ответ "нет", но не смог найти ничего об этом. Мне кажется странным, что top
Команда не требует root, что предполагает, что любое приложение может также получить доступ к этой команде.
Это можно обойти? Я предполагаю, что можно было бы просто установить права доступа /usr/bin/top для root?
2 ответа
В Linux все пользователи могут видеть список запущенных процессов. Несмотря на то, что он раскрывает информацию о том, какое программное обеспечение работает и какими привилегиями оно работает, оно традиционно не считается основным риском для безопасности.
Вы можете настроить его так, чтобы пользователи не могли видеть список процессов, хотя это может нарушить совместимость с некоторыми приложениями.
Более подробная информация по адресу: https://unix.stackexchange.com/questions/244353/why-can-i-list-other-users-processes-without-root-permission
В случае дистрибутивов Ubuntu и Linux все связано с /proc
файловая система, где у каждого процесса есть каталог, соответствующий его pid, и файлы, в которых содержится информация о процессе. Большая часть информации общедоступна, например, имена процессов, статистика памяти и т. Д. Это также легко увидеть с помощью strace -e trace=open top -b -n1
команда, которая скажет вам, что top
открывает целую кучу каталогов и файлов в /proc
для чтения.
Мне кажется странным, что верхняя команда не требует root, что предполагает, что любое приложение может также получить доступ к этой команде.
Ключевым моментом здесь является то, что вам нужен доступ к системе в первую очередь. Если вы являетесь пользователем системы, нет никаких причин скрывать от вас другие процессы, поскольку безопасность через неизвестность никогда не срабатывает.
Это можно обойти? Я предполагаю, что можно было бы просто установить права доступа /usr/bin/top для root?
Вы можете установить разрешения для top
за исключением того, что это не помешает другим программам получить доступ к информации о запущенных процессах.
Вы можете установить варианты монтажа для /proc
в /etc/fstab
файл с hidepid
вариант. От man proc
:
Параметры монтирования Файловая система proc поддерживает следующие параметры монтирования:
hidepid=n (since Linux 3.3)
This option controls who can access the information in
/proc/[pid] directories. The argument, n, is one of the
following values:
0 Everybody may access all /proc/[pid] directories. This is
the traditional behavior, and the default if this mount
option is not specified.
1 Users may not access files and subdirectories inside any
/proc/[pid] directories but their own (the /proc/[pid]
directories themselves remain visible). Sensitive files
such as /proc/[pid]/cmdline and /proc/[pid]/status are now
protected against other users. This makes it impossible
to learn whether any user is running a specific program
(so long as the program doesn't otherwise reveal itself by
its behavior).
2 As for mode 1, but in addition the /proc/[pid] directories
belonging to other users become invisible. This means
that /proc/[pid] entries can no longer be used to discover
the PIDs on the system. This doesn't hide the fact that a
process with a specific PID value exists (it can be
learned by other means, for example, by "kill -0 $PID"),
but it hides a process's UID and GID, which could
otherwise be learned by employing stat(2) on a /proc/[pid]
directory. This greatly complicates an attacker's task of
gathering information about running processes (e.g.,
discovering whether some daemon is running with elevated
privileges, whether another user is running some sensitive
program, whether other users are running any program at
all, and so on).
Таким образом, то, что вы, вероятно, хотите, это иметь что-то подобное в /etc/fstab
:
proc /proc proc defaults,hidepid=2 0 0
Существует также gid
вариант, где вы можете позволить определенной группе пользователей видеть информацию о процессе, например, группу администраторов. gid
являются числовыми, поэтому вы бы использовали что-то вроде gid=1000
разрешить просматривать информацию о процессе только вашему администратору и другим пользователям, входящим в его группу.
Вы также можете временно перемонтировать /proc
Файловая система вроде так (для тестирования или других целей):
mount -o remount,hidepid=2 /proc