Administración avanzada de GNU/Linux (PDF) - SW Computación

Administración avanzada de GNU/Linux
ª FUOC • XP04/90785/00019
(chmod +t dir), y puede quitarse con -t. En un ls aparecerá como un directorio
con permisos drwxrwxrwt (fijaos en la última t).
El bit setuid permite a un usuario ejecutar (ya sea un ejecutable o un
shell script) con los permisos de otro usuario. Esto en algún caso puede
ser de utilidad, pero es potencialmente peligroso. Es el caso, por
ejemplo, de programas con setuid de root: un usuario, aunque no
tiene permisos de root, puede ejecutar un programa con setuid que
puede disponer de permisos internos de usuario root. Esto es muy peligroso
en caso de scripts, ya que podrían editarse y modificarse para
hacer cualquier cosa. Por lo tanto, hay que tener controlados estos
programas, y en caso de que no se necesite el setuid, eliminarlo. El
bit se coloca mediante chmod +s, ya sea aplicándolo al propietario
(se llama entonces suid) o al grupo (se llama bit sgid); puede
quitarse con -s. En el caso de visualizar con ls, el fichero aparecerá
con –rwSrw-rw (fijaos en la S), si es sólo suid, en sgid la S aparecería
tras la segunda w.
En caso de utilizar chmod con notación octal, se usan cuatro cifras,
donde las tres últimas son los permisos clásicos rwxrwxrwx (recordad
que hay que sumar en la cifra 4 para r, 2 w, y 1 para x), y la primera
tiene un valor para cada permiso especial que se quiera (que se suman):
4 (para suid), 2 (sgid), y 1 (para sticky).
9.3.4. Habilitación de hosts
En el sistema hay unos cuantos ficheros de configuración especiales
que permiten habilitar el acceso a una serie de hosts a algunos servicios
de red, pero cuyos errores pueden permitir atacar después la
seguridad local. Nos podemos encontrar con:
• .rhosts de usuario: permite que un usuario pueda especificar una
serie de máquinas (y usuarios) que pueden usar su cuenta mediante
comandos “r” (rsh, rcp, ...) sin necesidad de introducir la
contraseña de la cuenta. Esto es potencialmente peligroso, ya que
una mala configuración del usuario podría permitir entrar a usuarios
no deseados, o que un atacante (con acceso a la cuenta del
usuario) cambiase las direcciones en .rhosts para poder entrar cómodamente
sin ningún control. Normalmente, no se tendría que
ANOTACIONES
359