Du bist nicht angemeldet.

Eine Antwort schreiben

Schreibe deinen Beitrag und versende ihn
Beitragsoptionen
Deine Antwort

Zurück

Themen-Übersicht (Neuester Beitrag zuerst)

niemand
12.11.2019 19:16:09

Würde man das nicht merken? Wenn ja, wie? Pacman braucht doch root-Rechte. Oder versteh ich da was nicht richtig?

Siehst du richtig, und in diesem Szenario soll der User nur pacman via sudo laufen lassen können, ohne das Rootpasswort zu kennen. Allerdings kann er sich ein Paket bauen, welches ihm bei der Installation eine Rootshell öffnet, und damit hätte dieser User vollständige Rootrechte, obwohl er laut sudoers nur pacman nutzen können sollte.

HansHiasl
12.11.2019 19:01:15
Dirk schrieb:

Wieso aus dem AUR? Wenn ich als User ein von dir konfiguriertes System angreifen will, reicht es, ein Paket zu starten, das beim Installieren eine Bash mit Rootrechten öffnet. smile

Würde man das nicht merken? Wenn ja, wie? Pacman braucht doch root-Rechte. Oder versteh ich da was nicht richtig?

Wie würde denn ein solcher Eintrag im PKGBUILD aussehen? Bekommt man ja nicht all zu oft zu sehen.

efreak4u
12.11.2019 11:00:25
The Hit-Man schrieb:

...
aber schaust du echt über jedes paket, das du ausm AUR baust?

Ja... solltest du auch so machen, es sei denn, das PKGBUILD stammt von dir und du bist dir hundertprozentig sicher, dass es von keinem veraendert wurde. wink

Dirk
10.11.2019 12:15:31
The Hit-Man schrieb:

das ist mir schon klar ...
aber schaust du echt über jedes paket, das du ausm AUR baust?

Wieso aus dem AUR? Wenn ich als User ein von dir konfiguriertes System angreifen will, reicht es, ein Paket zu starten, das beim Installieren eine Bash mit Rootrechten öffnet. smile

Photor
10.11.2019 11:04:51
TBone schrieb:

Debian rockt. <3 Gerade der Release-Zyklus!
Eventuell bin ich biased, da das erste Unternehmen, für welches ich gearbeitet habe, voll auf Debian ausgerichtet war, aber ich finde Debian auch heute noch geil und nutze es überall dort, wo es für mich Sinn ergibt.
Ich finde es etwas eingeschränkt, erst etwas negatives zu sagen und danach zu sagen: Jetzt aber keine Diskussion darüber.

Hallo TBone,

Also, Debian ist toll, und ich habe es viel genutzt und ich habe dabei viel gelernt! Dass ich es heute nicht mehr (soviel - Raspian ist schließlich auch ein Debian) nutze, liegt tatsächlich daran, dass mir die Pakete oft zu alt waren. Ich bin kein Versionsfetischist; aber neue Features, wo ich sie nutzen kann, hätte ich schon gerne. Das war gemeint mit Release-Zyklus.

Meine Einschränkung, bitte KEINE weitere Diskussion über irgendwelche Distributionen, bezieht sich darauf, dass genau solche Threads immer unendlich lang werden, zu nichts weiter führen, als dass jeder darlegt, warum die - und nur die - toll ist, und am Ende das bleibt, was man eh schon weiß: jeder sucht sich die Distribution, die einem am besten zusagt.

Sollte das in meinem Post schlecht oder falsch rüber gekommen ist, dann bitte ich um Entschuldigung.
Und natürlich kann hier auch weiter diskutiert werden. Das will und kann ich doch gar nicht einschränken.

Ciao,
Photor

Photor
09.11.2019 12:18:57
hm schrieb:

ich lebe ohne sudo
wenn ich root-Rechte brauche, dann mache ich eine Konsole auf, mache mich dort zu root, mache, was immer zu tun ist, und mache die Konsole sofort wieder zu.

Bzw. Ich mache ein Konsolenfenster extra mit ROOT-Anmeldung - und KNALLROTEM Hintergrund - auf. Da schreit alles „Achtung! Gefährlich!“.

hm schrieb:

Ganz früher war ich bei einer debian-distro, wo einem sudo ausgetrieben wurde, galt als böse.

Oh ja. Debian ist immer noch ne gute Schule. Auch jahrelang genutzt. Aber der Release-Zyklus. (Kein Distro-Krieg jetzt, bitte).

Ciao,
Photor

stefanhusmann
08.11.2019 21:06:01

kam schon vor, daß ich auf Skripte (aus dem AUR) angewiesen war, in denen sudo vorkam.

Solche Pakete gehören gelöscht (wenn man sie nicht fixen kann).

hm
08.11.2019 20:41:22

wie soll man es sonst machen?

ich lebe ohne sudo
wenn ich root-Rechte brauche, dann mache ich eine Konsole auf, mache mich dort zu root, mache, was immer zu tun ist, und mache die Konsole sofort wieder zu.

kam schon vor, daß ich auf Skripte (aus dem AUR) angewiesen war, in denen sudo vorkam. Solche Skripte gucke ich mir an und mache die sudo-Befehle (in einer root-Konsole) per Hand.

Mit dieser Technik mogle ich mich erfolgreich an sudo vorbei.

Ganz früher war ich bei einer debian-distro, wo einem sudo ausgetrieben wurde, galt als böse.

The Hit-Man
08.11.2019 20:33:36

das ist mir schon klar ...
aber schaust du echt über jedes paket, das du ausm AUR baust?

Dirk
08.11.2019 20:23:28
The Hit-Man schrieb:

ist doch nur bei pacman ...

Erstelle ein Paket, das im Zuge des Installationsprozesses nichts weiter macht, als eine Bash zu starten, und baue das Paket

sudo pacman -U meinpaket.pkg.tar.xz

Bämm, Shell mit Rootrechten.

The Hit-Man
08.11.2019 08:10:43

ist doch nur bei pacman ... wie soll man es sonst machen?

Dirk
08.11.2019 00:12:17

Ja genau, überall einfach schön ALL und NOPASSWD reinballern, wird schon sicher sein … big_smile

The Hit-Man
07.11.2019 20:20:24

so habe ich es dann gelöst. es geht da drum wenn ich remote ein update machen möchte, möchte ich nicht immer davor sitzen müssen und bei größeren installationen, ständig das passwort eingeben müssen.


/etc/sudoers

##
## User privilege specification
##
root ALL=(ALL) ALL
u0 ALL=(ALL) ALL

u0 ALL = NOPASSWD: /bin/pacman
stefanhusmann
07.11.2019 15:09:14
The Hit-Man
07.11.2019 12:09:04

das werde ich ausprobieren ...
dann noch eine frage ... ich benutze trizen zum updaten meiner rechner. nun möchte ich nicht immer das sudo passwort angeben müssen wenn wenn das paket installiert wird, oder eins ausm AUR gebaut werden muß.
da kann man doch bestimmt in der datei /ets/sudoers.conf etwas einstellen können. also das darf dann nur ein benutzer. ich meine da konnte man etwas mit passwordless einstellen, für diverse programme.
das wären ja dann trizen, pacman und makepkg ?

Fußzeile des Forums

Powered by FluxBB