Ders 2.65: Asıl kim yaptı: sudo boyunca kimlik izi
Birkaç yöneticinin sudo kullandığı bir sunucuda 'bunu root yaptı' diyen günlükler hiçbir şeyi yanıtlamaz. Çekirdek her oturum için bir giriş UID'si tutar: girişte bir kez ayarlanır, her çocuk süreç devralır ve sudo, su ya da sudo -i ile değişmez. Denetim kayıtları onu etkin uid'nin yanında auid olarak taşır. Laboratuvarda Northwind'in atlama sunucusunda UID'si 0 olan ikinci bir hesap belirdi. Kendi giriş UID'nin sudo'dan sağ çıktığını doğruluyor, hesabı buluyor ve kimlik izlemeleriyle execve kayıtlarını kullanarak root'un geçmişini temizleme girişimi dahil her adımı tek bir kişinin girişine bağlıyorsun.
18 dk
Bu derste öğreneceklerin
- loginuid'yi ve neden sudo'dan sağ çıktığını açıklamak
- UID'si 0 olan hesapları bulmak
- Kimlik izleme olaylarını okumak
- execve kayıtlarında uid'nin yanındaki auid'yi okumak
- Haydut bir hesabı sınırlamak
Temel terimler
- loginuid
- Bir oturumun giriş yaptığı UID; süreç başına /proc/PID/loginuid'de saklanır.
- pam_loginuid
- Girişte loginuid'yi ayarlayan PAM modülü (sshd, login, cron).
- auid ile uid
- auid: kim giriş yaptı. uid/euid: süreç şu anda kimin haklarını kullanıyor.
- Yinelenen UID 0
- UID'si 0 olan ikinci bir hesap başka bir ad altında tam bir root'tur.
- Oturum kimliği (ses)
- Denetim kayıtlarında giriş oturumu başına bir sayı; bir girişin yaptığı her şeyi gruplar.
← Kapsayıcılar süreçtir: ad alanları · Tüm dersler · Kabuk geçmişini bellekten kurtarmak →