linux-l: Hacker

[Florian Schintke]

+------------+
| Antwort auf
|   wen:      Wolfgang Metze <metze at trionet.de>
|   Thema:    'Re: linux-l: Hacker'
+------------+
> Thomas Bange schrieb:
> 
> > Hallo,
> >
> > als sich heute abend meine Kollege auf unserem Server einloggen wollte
> >
> > bekam er sinngäß folgende Meldung:
> >
> > HACKED!!!!!
> >
> > Naja. Das habe ich mal gesucht folgendes entdeckt: Es hatte jemand
> > eine
> > .profile angelegt mit einem echo Befehl drin, der das obige ausgibt.
> > Desweiteren wurde eine .rhosts mit "+ +" angelegt. In den LOG Files
> > habe
> > ich folgendes gefunden:
> > Wie kann da jemand bei mir reingekommen
> > sein ??
> >
> >
> 
> Eine ganz einfache und große Sicherheitslücke stellt der Suchpfad dar.
> Er sollte niemals den "." enthalten.Das ist zwar lästig, weil man immer
> ./irgeneinprogramm eintippen muß, aber sicher ist sicher.
> Beispiel:
> Angenommen, der Punkt befindet sich im Suchpfad und Du wechselst in die
> Directory irgendeines
> Fremden und machst "ls".
> etzt kann es passieren, das nicht /bin/ls aufgerufen wird, sondern ein
> von diesem Benutzer selbst
> geschriebenes Programm mit dem gleichen Namen. Das ruft zwar /bin/ls
> auf, damit Du nichts merkst,
> aber gleichzeitig kopiert es ein rhosts-File in Deine Directory. Schon
> hat der andere Zugriff auf Deinen
> Bereich und kann unter Deiner Nutzerkennung arbeiten.
> 

Also ganz so kann man das nicht stehen lassen. Es ist schon sehr genau
bekannt welches Programm ausgefuehrt wird, auch wenn es zweimal im Suchpfad
auftritt. Naemlich das, das zuerst gefunden wurde. Deswegen sollte der
. im Suchpfad nicht ganz vorne stehen. Besser ganz hinten. Wer sich ganz
sicher sein will, sollte ihn tatsaechlich nicht in den Pfad aufnehmen,
aber es ist nicht so, dass man, wenn er im Suchpfad enthalten ist, 
nicht weiss welches ls aufgerufen wird.

Gruss

Florian Schintke
-- 
E-Mail: schintke at cs.tu-berlin.de
WWW   : http://user.cs.tu-berlin.de/~schintke/

The human mind ordinarily operates at only ten percent of its capacity
-- the rest is overhead for the operating system.