Verifikasi binari perintah sebelum eksekusi

Apakah ada metode untuk memeriksa apa yang sebenarnya Anda jalankan dari skrip bash?

Katakanlah bash script Anda memanggil beberapa perintah (misalnya: tar, mail, scp, mysqldump) dan Anda bersedia untuk memastikan bahwa taradalah yang sebenarnya, real tar, yang ditentukan oleh rootpengguna menjadi file dan direktori induk pemilik satu-satunya dengan hak akses menulis dan bukan sebagian /tmp/surprise/tardengan www-dataatau apache2menjadi pemilik.

Tentu saya tahu tentang PATHdan lingkungan, saya ingin tahu apakah ini juga dapat diperiksa dari skrip bash yang sedang berjalan dan, jika demikian, bagaimana tepatnya?

Contoh: (pseudo-code)

tarfile=$(which tar)
isroot=$(ls -l "$tarfile") | grep "root root"
#and so on...

Alih-alih memvalidasi binari yang akan Anda jalankan, Anda bisa menjalankan binari yang tepat dari awal. Misalnya, jika Anda ingin memastikan Anda tidak akan menjalankan /tmp/surprise/tar, jalankan saja /usr/bin/tardalam skrip Anda. Atau, atur nilai Anda $PATHmenjadi waras sebelum menjalankan apa pun.

Jika Anda tidak mempercayai file /usr/bin/dan direktori sistem lainnya, tidak ada cara untuk mendapatkan kembali kepercayaan. Dalam contoh Anda, Anda sedang memeriksa pemiliknya ls, tetapi bagaimana Anda tahu Anda bisa percaya ls? Argumen yang sama berlaku untuk solusi lain seperti md5sumdan strace.

Di mana kepercayaan tinggi dalam integritas sistem diperlukan, solusi khusus seperti IMA digunakan. Tapi ini bukan sesuatu yang bisa Anda gunakan dari skrip: seluruh sistem harus diatur dengan cara khusus, dengan konsep file yang tidak dapat diubah.

Jika penyusup mendapatkan akses ke sistem Anda dan dapat memodifikasi Anda $PATH(yang seharusnya tidak termasuk /tmpdalam keadaan apa pun), maka sudah terlambat untuk mulai khawatir tentang kepemilikan dari executable.

Alih-alih, Anda harus membaca tentang cara menghadapi gangguan .

Lebih baik berkonsentrasi pada menghindari intrusi sama sekali.

Jika Anda memiliki sistem di mana hal-hal semacam ini penting, maka mungkin ide yang baik untuk mengisolasi bagian-bagiannya yang perlu diketahui publik dari bagian-bagian yang perlu pribadi, serta melakukan audit terhadap mode komunikasi di antara ini.

Mungkin sampai batas tertentu dengan memverifikasi md5sumfile. Jadi pada sistem yang menggunakan aptmanajemen paket - dalam kasus khusus saya, Ubuntu 16.04 - ada file /var/lib/dpkg/info/tar.md5sums, yang menyimpan jumlah md5 dari semua file yang berasal dari tarsaat instalasi. Jadi, Anda bisa menulis pernyataan if sederhana yang memeriksa apakah output md5sum /bin/tarcocok dengan apa yang ada di file itu.

Itu tentu saja mengasumsikan bahwa file itu sendiri belum dirusak. Ini tentu saja hanya dapat terjadi ketika penyerang mendapatkan akses root / sudo, di mana semua taruhan dimatikan.

Ya, ada metode: builtin type. Berlawanan dengan whichperintah yang hanya mencari di PATH Anda, typeakan memberi tahu Anda apakah nama perintah itu benar-benar kata kunci yang dipesan, bawaan, alias, fungsi, atau file disk.

$ type -t foobar || echo "Not found"
Not found

$ type -t echo
builtin

$ enable -n echo; type -t echo; type -p echo
file
/usr/bin/echo

$ echo() { printf "(echoing) %s\n" "$*"; }; type -t echo
function

$ alias echo="/bin/echo 'I say: ' "; type -t echo
alias

Selain itu type -aakan memberi Anda semua kandidat untuk perintah Anda (dari pilihan pertama hingga terakhir):

$ type -a echo
echo is aliased to `/bin/echo 'I say: ' '
echo is a function
echo () 
{ 
    printf "(echoing) %s\n" "$*"
}
echo is a shell builtin
echo is /usr/local/bin/echo
echo is /bin/echo

Akhirnya, jika Anda hanya peduli tentang binari pada disk Anda, Anda dapat menggunakan type -Pauntuk mendapatkan semua binari di PATH Anda (urutan yang sama seperti di atas):

$ type -Pa tar
/home/me/bin/tar                <= oh oh, is this normal?
/bin/tar

Yang mengatakan, typesendirian tidak akan memberi tahu Anda dengan tepat perintah apa yang akan dipanggil pada akhirnya. Misalnya, jika Anda taradalah alias yang memanggil biner (mis. alias tar="/tmp/tar") Maka typeakan memberi tahu Anda ini adalah alias.

Anda dapat memeriksa perintah apa yang sebenarnya dieksekusi oleh skrip dengan menggunakan strace. Sebagai contoh:

strace -f -e execve ./script.sh

Dengan skrip berikut:

#!/bin/bash
touch testfile.txt
echo "Hello" >> testfile.txt
cat testfile.txt
rm testfile.txt

straceakan memberi tahu Anda jalur yang tepat ke perintah yang dijalankan saat digunakan dengan -e execveparameter:

execve("./script.sh", ["./script.sh"], [/* 69 vars */]) = 0 
Process 8524 attached
[pid  8524] execve("/usr/bin/touch", ["touch", "testfile.txt"], [/* 68 vars */]) = 0 
[pid  8524] +++ exited with 0 +++
--- SIGCHLD {si_signo=SIGCHLD, si_code=CLD_EXITED, si_pid=8524, si_status=0, si_utime=0, si_stime=0} --- 
Process 8525 attached [pid > 8525] execve("/bin/cat", ["cat", "testfile.txt"], [/* 68 vars */]) = 0
Hello [pid  8525] +++ exited with 0 +++
--- SIGCHLD {si_signo=SIGCHLD, si_code=CLD_EXITED, si_pid=8525, si_status=0, si_utime=0, si_stime=0} --- 
Process 8526 attached [pid > 8526] execve("/bin/rm", ["rm", "testfile.txt"], [/* 68 vars */]) = 0
[pid  8526] +++ exited with 0 +++
--- SIGCHLD {si_signo=SIGCHLD, si_code=CLD_EXITED, si_pid=8526, si_status=0, si_utime=0, si_stime=0} ---
+++ exited with 0 +++

Parameter (dari strace man):

-f: Lacak proses anak karena dibuat oleh proses yang saat ini dilacak sebagai hasil dari garpu (2), vfork (2) dan panggilan sistem klon (2). Catatan yang -p PID -fakan melampirkan semua utas proses PID jika multi-utas, tidak hanya utas dengan thread_id = PID.

-e trace=file: Lacak semua panggilan sistem yang menggunakan nama file sebagai argumen. Anda dapat menganggap ini sebagai singkatan -e trace=open,stat,chmod,unlink,...yang berguna untuk melihat file apa yang dirujuk oleh proses. Selanjutnya, menggunakan singkatan akan memastikan bahwa Anda tidak sengaja lupa untuk memasukkan panggilan seperti lstat dalam daftar.

OS Linux didasarkan pada file dan banyak perintah yang dijalankan di linux kemungkinan akan menyelesaikan beberapa perubahan pada file yang terletak di mesin Anda. Karena itu mungkin adalah solusi terbaik untuk masalah Anda. Anda dapat menguji perintah Anda untuk setiap perubahan pada sistem file sebelum dieksekusi.

Ada perintah 'strace' yang mendekompilasi perintah Anda di beberapa bagian ...

Jika Anda benar-benar ingin masuk lebih dalam, Anda ingin checkout dekompiler untuk skrip yang akan dieksekusi. Dengan kata lain Anda harus memeriksa interpretasi assembler dari perintah itu. Untuk bash di sana objdump -d. Skrip Linux bin terutama dibuat dengan Cbahasa pemrograman jadi gunakan Cdecompiler yang bagus .