Aman menggunakan find dengan sudo

Di server Linux, saya perlu menghapus hak akses root dari sekelompok pengguna. Tetapi para pengguna memiliki alasan yang sah untuk dapat menggunakan utilitas "find" untuk mencari file berdasarkan nama file, tanggal modifikasi, dan metadata lainnya.

Di server, nama file tidak sensitif, tetapi konten file mungkin.

Saya ingin menggunakan sudo untuk memungkinkan pengguna mencari file di mana saja di server. Utilitas "find" sangat bagus, tetapi memungkinkan untuk semua jenis efek samping, seperti menggunakan "-exec" untuk menelurkan perintah sewenang-wenang.

Bisakah saya mulai findbekerja dengan batasan saya?

Bagaimana dengan cari ?

cari membaca satu atau lebih database yang disiapkan oleh updatedb (8) dan menulis nama file yang cocok dengan setidaknya satu dari POLA dengan output standar, satu per baris. Jika --regex tidak ditentukan, POLA dapat berisi karakter globbing. Jika ada POLA yang tidak mengandung karakter globbing, cari berperilaku seolah-olah polanya adalah POLA .

Secara default, cari tidak memeriksa apakah file yang ditemukan dalam database masih ada. loc tidak pernah dapat melaporkan file yang dibuat setelah pembaruan terbaru dari database yang relevan.

Atau mungkin bahkan ditempatkan :

Secure Locate menyediakan cara aman untuk mengindeks dan cepat mencari file di sistem Anda. Ia menggunakan pengkodean tambahan seperti halnya GNU temukan untuk mengompresi basis datanya untuk membuat pencarian lebih cepat, tetapi juga akan menyimpan izin dan kepemilikan file sehingga pengguna tidak akan melihat file yang tidak dapat mereka akses.

Halaman manual ini mendokumentasikan slocate versi GNU. slocate Memungkinkan pengguna sistem untuk mencari seluruh sistem file tanpa menampilkan file yang tidak sah.

Berdasarkan man 7 capabilities

   CAP_DAC_READ_SEARCH
          * Bypass file read permission checks and directory read and execute permission checks;
          * Invoke open_by_handle_at(2).

Ini berhasil untuk saya. (baris yang dimulai dengan '#' adalah root, yang dengan '$' adalah non-root) dalam hal ini pengguna non-root ada di wheelgrup.

# cp /usr/bin/find /usr/bin/sudofind
# chmod 710 /usr/bin/sudofind
# chown root:wheel /usr/bin/sudofind
# setcap cap_dac_read_search+ep /usr/bin/sudofind
# exit
$ find /root 
find: ‘/root’: Permission denied
$ sudofind /root
/root /root 
/root/Testbed 
...
... 
$ sudofind /root -exec cat {} \;
cat: /root: Permission denied 
cat: /root/Testbed: Permission denied
$ sudofind /root -printf "%u %g %m %c %p\n"
root root 644 Mon Apr 20 09:20:48.0457518493 2015 /root
root root 755 Fri Dec  4 02:34:03.0016294644 2015 /root/Testbed
...
...
$ # Capability inheritance test..
$ sudofind /root -exec /bin/sleep 10 \; &
[1] 17017
$ getpcaps $(pgrep find)
Capabilities for `17017': = cap_dac_read_search+ep
$ getpcaps $(pgrep sleep)
Capabilities for `17019': =

Mengingat apa yang diberikan kemampuan, itu cocok dengan apa yang Anda inginkan. Saya belum memeriksa apakah findmemiliki fitur yang memungkinkan Anda membaca byte di dalam file, tetapi hal-hal yang jelas seperti LD_PRELOADdan pustaka serangan shim seharusnya tidak berfungsi karena sifat pemeriksaan setuid di Linux, dan bit kemampuan tidak mendapatkan diwarisi oleh proses anak juga (tidak seperti setuid mentah) jadi itu bonus lain.

Ingatlah bahwa apa yang ingin Anda lakukan memang meningkatkan kemungkinan masalah privasi terkait dengan pembuatan atau akses file sementara, dan program ini dapat digunakan sebagai dasar untuk memasang upaya peningkatan kondisi ras / hak istimewa (terhadap program yang membuat nama file terkenal) tapi jangan lakukan pemeriksaan keamanan yang benar).

Juga, beberapa aplikasi yang ditulis dengan buruk dapat mengandalkan metadata file atau struktur pohon sebagai cara untuk menyampaikan makna atau menyembunyikan data. Hal ini dapat menyebabkan pelepasan informasi terbatas atau mengungkapkan dokumen istimewa yang tidak diketahui tentang (keamanan melalui ketidakjelasan yang saya tahu, tapi ini adalah hal yang ingin dilakukan oleh vendor sumber tertutup, khususnya).

Karena itu, berhati-hatilah dan berhati-hatilah dalam melakukannya dan pahami masih ada risiko yang terkait dengan hal ini meskipun hal-hal yang jelas tidak berhasil.

Oh, dan saya akan tertarik untuk melihat apakah seseorang memiliki bukti serangan konsep yang menggunakan mekanisme ini sebagai dasar untuk eskalasi hak istimewa dalam komentar!

Saya akan memberikan izin yang tepat kepada pengguna.

Secara default, jika umask adalah 022, direktori dibuat sehingga semua orang dapat membuat daftar dan membuat stat file di dalamnya. Jika tidak, Anda dapat secara manual mengubah izin direktori menjadi bitwise atau izin sebelumnya dan 0555:

chmod +0555 foo

Dan jika para pengguna itu tidak memiliki izin untuk mengeksekusi semua orangtua dari direktori itu (misalnya, direktori home pengguna lain), itu mungkin berarti Anda harus meletakkan direktori pertama di tempat lain.

Jika Anda hanya ingin membiarkan beberapa pengguna membaca dan menjalankan direktori itu, Anda dapat mengubah modenya menjadi 0750, menempatkan pengguna tersebut dalam sebuah grup, dan mengubah pemilik grup dari direktori ke grup itu:

groupadd can_read_foo
chmod 0750 foo
chgrp can_read_foo foo
gpasswd -a alice can_read_foo
gpasswd -a bob can_read_foo