Linux Dateirechte script ausführen

[piUser (Gast)]

Hallo, ich habe auf dem pi ein bashscript erstell und es auch ausführbar 
gemacht.

Ich möchte das die Gruppe und der rest der Welt das Scrpit ausführen 
können, jedoch nicht einsehen dürfen.

darum habe ich folgende Rechte vergeben

-rwx--x--x  1 pi mygroup 44 Feb 26 08:24 test.sh

Warum kann der user www-data das script jetzt nicht ausführen ???

[nicht"Gast" (Gast)]

Spontan gesagt,

Lies mal ein Buch vor, ohne es aufschlagen zu dürfen.

[piUser (Gast)]

hmmm...

[Pandur S. (jetztnicht)]

Was du haben willst macht ein kompliliertes Binary.

[Philipp_K59 (Gast)]

Du könntest ein Einzeiler Script das das geheime Script startet 
schreiben und komplett zugriff geben.. da kann man dann höchstens den 
Dateinamen rausfinden.

[Wegstaben V. (wegstabenverbuchsler)]

Oder D. schrieb:
> kompliliertes Binary

kompliziertes Binary?
kompiliertes Binary?

[restmuell (Gast)]

was Autor:  nicht"Gast" (Gast)  sagen wollte:
um das Script ausführen zu können, muss er es auch lesen können.

[Mikro 7. (mikro77)]

Philipp_K59 schrieb:
> Du könntest ein Einzeiler Script das das geheime Script startet
> schreiben und komplett zugriff geben.. da kann man dann höchstens den
> Dateinamen rausfinden.

Fast. Das aufrufende Script müsste den selben User wie das aufgerufene 
Script haben + das SUID Bit muss gesetzt sein. 
https://en.wikipedia.org/wiki/Setuid

Allerdings funktioniert das SUID Bit für Scripts nicht mehr auf 
aktuellen *NIX Systemen (Sicherheitsrisiko). Man müßte also ein Binary 
dafür kompilieren.

Beispiel:

prompt> cat > hello.sh <<EOF
#!/bin/bash
echo "hello world!"
EOF
prompt> chmod +x hello.sh
prompt> ./hello.sh
hello world!
prompt> sudo chown root hello.sh
prompt> sudo chmod 711 hello.sh 
prompt> ./hello.sh 
/bin/bash: ./hello.sh: Permission denied

Root dient hier lediglich als (gefährliches) Beispiel.

Anyway, C source to invoke hello.sh:

#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>
int main()
{
  int error = setuid(geteuid()) ;
  if (error) {
    perror("setuid() failed") ;
    exit(1) ;
  }
  error = execl("./hello.sh","./hello.sh",NULL) ;
  if (error) {
    perror("exec() failed") ;
    exit(1) ;
  }
  return 0 ;
}

Compilieren und Rechte setzen:

prompt> gcc -Wall invoke.c -o invoke
prompt> ./invoke
/bin/bash: ./hello.sh: Permission denied
prompt> sudo chown root invoke
prompt> ./invoke
/bin/bash: ./hello.sh: Permission denied
prompt> sudo chmod 4755 invoke
prompt> ./invoke
hello world!

Die Maske ist 6755 für Set-User+Group-ID (siehe chmod).

Note: SUID Programme stellen immer ein potentielles Sicherheitsrisiko 
dar.

Edit: prompt names

[Jay (Gast)]

Dafür kompiliere ich mir doch kein Binary. Dafür konfiguriere ich mir 
sudo.

[npn (Gast)]

Jay schrieb:
> Dafür kompiliere ich mir doch kein Binary. Dafür konfiguriere ich
> mir sudo.

...und das gibst du dann für den "Rest der Welt" frei?
Dann kannst du auch gleich den kompletten Rechner freigeben für alle!

[Daniel A. (daniel-a)]

@Mikro 77

#ungetestet
prompt>export op="$(pwd)"
prompt>cd /tmp/
prompt>cat > hello.sh
cat "$op/hello.sh"
cat evil.sh >> /etc/profile
^d
prompt>"$op/invoke"
#!/bin/bash
echo "hello world!"
prompt>history -c && exit

[Dirk D. (dicky_d)]

npn schrieb:
> Jay schrieb:
>> Dafür kompiliere ich mir doch kein Binary. Dafür konfiguriere ich
>> mir sudo.
>
> ...und das gibst du dann für den "Rest der Welt" frei?
> Dann kannst du auch gleich den kompletten Rechner freigeben für alle!

Magst du das genaue Problem näher erläutern?

[T.roll (Gast)]

npn schrieb:
> ...und das gibst du dann für den "Rest der Welt" frei?

Und davor lesen wir mal die Doku von sudo...
Dann lernen wir: Mit sudo wechselt man den Benutzer, das muss nicht 
zwingend root sein.

[Daniel A. (daniel-a)]

T.roll schrieb:
> Mit sudo wechselt man den Benutzer, das muss nicht
> zwingend root sein.

Zusätzlich kann man es auf ein Skript beschränken.

Nützt aber alles nichts, solange niemand die BIOS und Grub Passwörter 
setzt.

[Mikro 7. (mikro77)]

Daniel A. schrieb:
> @Mikro 77 ...

Stimmt.

Absoluter Pfadname ist Pflicht. Ansonsten brauch man sich wie von dir 
gezeigt nur ein eigenes hello.sh anlegen um die Rechte von invoke zu 
erlangen.

[Mikro 7. (mikro77)]

Jay schrieb:
> Dafür kompiliere ich mir doch kein Binary. Dafür konfiguriere ich mir
> sudo.

Interessant. Das wäre dann natürlich besser.

Kannst du mal ein Beispiel zeigen wie ein Benutzer die Freigabe für eine 
Datei konfiguriert? Habe ich auf Anhieb nicht gefunden.

Achja, ohne Root Rechte. Root hatte ich ja nur genommen, weil das im 
Beispiel leicht nachvollziehbar ist.

[Dirk D. (dicky_d)]

Mikro 7. schrieb:
> Jay schrieb:
>> Dafür kompiliere ich mir doch kein Binary. Dafür konfiguriere ich mir
>> sudo.
>
> Interessant. Das wäre dann natürlich besser.
>
> Kannst du mal ein Beispiel zeigen wie ein Benutzer die Freigabe für eine
> Datei konfiguriert? Habe ich auf Anhieb nicht gefunden.
>
> Achja, ohne Root Rechte. Root hatte ich ja nur genommen, weil das im
> Beispiel leicht nachvollziehbar ist.

Dann verstehe ich nicht was du zu schützen versuchst...