Hi Leute,
ist es richtig, dass PATH sich auf das aktuelle Verzeichnis bezieht, wenn die U.-variable : . : enthält?
Beste Grüße
Coppelius
Hi Leute,
ist es richtig, dass PATH sich auf das aktuelle Verzeichnis bezieht, wenn die U.-variable : . : enthält?
Beste Grüße
Coppelius
Wenn Du damit meinst, daß dann _auch_ im aktuellen Verzeichnis gesucht wird - dann ja.
Ich bin root - ich darf das.
Danke für die schnelle Antwort. Heißt das, dass unabhängig davon, in welchem Verzeichnis ich mich befinde, die in der Shell aufgerufenen Programme dort (gemeint das akt. Verzeichnis) zu lokalisieren versucht werden?
Diese: Ein böser Mensch legt eine modifiziert Version von ls in deinem home ab bzw. schiebt dir eine unter, du machst eine Shell auf und führst ls aus, nun wird aber nicht /bin/ls ausgeführt sondern ~/ls und das Unglück nimmt seinen lauf, darum will man das nicht.
Gruß nopes
(,,,)---(^.^)---(,,,) /var/log/messages | grep cat
Wenn ein böser Mensch irgendwas in meinem home ablegen kann, ist schon was schief gelaufen. Da ist die Lücke schon woanders.
Ich lege einen fiesen Script namens ls in mein Home und erzähle dem Admin (der den Punkt in seinem $PATH hat), dass an einer anderen Datei in meinem Home, was mit den Rechten nicht stimmt. Ich spekuliere darauf, dass er dann mein ls mit seinen Rechten ausführt.
Das stimmt zwar, diese Lücke ist aber oft zwischen Bildschirm und Tastatur zu finden. Besonders wenn irgendwo "kostenlos" oder "$WeiblicheProminenteNackt" steht.
Bei Konsolenausgaben / Fehlermeldungen bitte immer Code Tags verwenden: [code] -Text- [/code]
"Überzeugungen sind gefährlichere Feinde der Wahrheit als Lügen" (H. Lesch)
Nun man kann es etwas sicherer machen:Es bleibt aber dabei, dass man das nicht tun sollte, einfach nur weil es konsequent ist. Ebenfalls dazu Passend, Anleitung zum Absichern von Debian, Nach der Installation, 4.10 Partitionen auf die richtige Art einbinden:Code:# evil PATH=".:$PATH" # semi evil PATH="$PATH:."Der Vektor ist also da und wird auch benutzt und natürlich spekulieren die Entwickler von solchen Teilen, auf die Benutzer - sollte man also immer mit absoluten Pfaden arbeiten? Als Admin jedenfalls keine dumme Idee, wobei ich schon zugeben muss, dass ich das nicht wirklich durchhalte, aber besser wäre es.Wie auch immer, viele Skript-Kiddies haben Exploits, die versuchen eine Datei in /tmp zu erstellen und auszuführen. Wenn sie keine Ahnung haben, werden sie in dieser Grube hängen bleiben. Mit anderen Worten: Ein Benutzer kann nicht hereingelegt werden, einen ausführbaren Trojaner in /tmp laufen zu lassen, zum Beispiel indem er zufällig /tmp in seinen Suchpfad aufnimmt.
[EDIT]Kleiner Tipp dazu: Nutzt aliase und verwendet da den absoluten Pfad, netter weise kann man die "schachteln"Jedenfalls werden die vor PATH geprüft und verwendet, gibt man mit den gezeigten zB l ein, wird dies zu dem Befehl: "/bin/ls --color=auto -CF"Code:alias cp='/bin/cp' alias ls='/bin/ls --color=auto' alias ll='ls -l' alias la='ls -A' alias l='ls -CF' alias man='/usr/bin/man' alias mv='/bin/mv' #etc etc
Geändert von nopes (13.09.14 um 14:38 Uhr)
Gruß nopes
(,,,)---(^.^)---(,,,) /var/log/messages | grep cat
Lesezeichen