Saya menjalankan daemon perangkat lunak yang memerlukan tindakan tertentu untuk memasukkan frasa sandi untuk membuka kunci beberapa fitur yang terlihat seperti itu:

$ darkcoind masternode start <mypassphrase>

Sekarang saya punya beberapa masalah keamanan pada server debian tanpa kepala saya.

Setiap kali saya mencari riwayat bash saya misalnya dengan Ctrl+Rsaya dapat melihat kata sandi yang sangat kuat ini. Sekarang saya membayangkan server saya terganggu dan beberapa penyusup memiliki akses shell dan dapat dengan mudah Ctrl+Rmenemukan frasa sandi saya dalam sejarah.

Apakah ada cara untuk memasukkan frasa sandi tanpa harus ditampilkan dalam bash history ps,, /procatau di mana saja?

Pembaruan 1 : Melewati kata sandi tanpa ke daemon melempar kesalahan. Ini bukan pilihan.

Pembaruan 2 : Jangan bilang saya untuk menghapus perangkat lunak atau petunjuk bermanfaat lainnya seperti menggantung pengembang. Saya tahu ini bukan contoh praktik terbaik tetapi perangkat lunak ini didasarkan pada bitcoin dan semua klien berbasis bitcoin adalah semacam server json rpc yang mendengarkan perintah ini dan masalah keamanannya yang diketahui masih dibahas ( a , b , c ) .

Pembaruan 3 : Daemon sudah mulai dan berjalan dengan perintah

$ darkcoind -daemon

Melakukan pshanya menunjukkan perintah startup.

$ ps aux | grep darkcoin
user     12337  0.0  0.0  10916  1084 pts/4    S+   09:19   0:00 grep darkcoin
user     21626  0.6  0.3 1849716 130292 ?      SLl  May02   6:48 darkcoind -daemon

Jadi melewati perintah dengan frasa sandi tidak muncul psatau tidak ada /procsama sekali.

$ darkcoind masternode start <mypassphrase>
$ ps aux | grep darkcoin
user     12929  0.0  0.0  10916  1088 pts/4    S+   09:23   0:00 grep darkcoin
user     21626  0.6  0.3 1849716 130292 ?      SLl  May02   6:49 darkcoind -daemon

Ini meninggalkan pertanyaan di mana sejarah muncul? Hanya di .bash_history?

Sungguh, ini harus diperbaiki dalam aplikasi itu sendiri. Dan aplikasi semacam itu harus open source, sehingga memperbaiki masalah di aplikasi itu sendiri harus menjadi pilihan. Aplikasi terkait keamanan yang membuat kesalahan semacam ini mungkin membuat kesalahan lain juga, jadi saya tidak akan mempercayainya.

Interposer sederhana

Tapi Anda meminta cara yang berbeda, jadi ini dia:

#define _GNU_SOURCE
#include <dlfcn.h>

int __libc_start_main(
    int (*main) (int, char * *, char * *),
    int argc, char * * ubp_av,
    void (*init) (void),
    void (*fini) (void),
    void (*rtld_fini) (void),
    void (* stack_end)
  )
{
  int (*next)(
    int (*main) (int, char * *, char * *),
    int argc, char * * ubp_av,
    void (*init) (void),
    void (*fini) (void),
    void (*rtld_fini) (void),
    void (* stack_end)
  ) = dlsym(RTLD_NEXT, "__libc_start_main");
  ubp_av[argc - 1] = "secret password";
  return next(main, argc, ubp_av, init, fini, rtld_fini, stack_end);
}

Kompilasi ini dengan

gcc -O2 -fPIC -shared -o injectpassword.so injectpassword.c -ldl

kemudian jalankan proses Anda dengan

LD_PRELOAD=$PWD/injectpassword.so darkcoind masternode start fakepasshrase

Pustaka interposer akan menjalankan kode ini sebelum mainfungsi dari aplikasi Anda dieksekusi. Ini akan menggantikan argumen baris perintah terakhir dengan kata sandi yang sebenarnya dalam panggilan ke utama. Baris perintah seperti yang dicetak /proc/*/cmdline(dan karena itu terlihat oleh alat seperti ps) masih akan berisi argumen palsu. Tentunya Anda harus membuat kode sumber dan pustaka yang Anda kompilasi darinya hanya dapat dibaca oleh Anda sendiri, jadi sebaiknya operasikan di chmod 0700direktori. Dan karena kata sandi tersebut bukan bagian dari permintaan perintah, bash history Anda juga aman.

Interposer yang lebih maju

Jika Anda ingin melakukan sesuatu yang lebih rumit, Anda harus ingat bahwa __libc_start_maindieksekusi sebelum pustaka runtime telah diinisialisasi dengan benar. Jadi saya sarankan menghindari panggilan fungsi kecuali mereka benar-benar penting. Jika Anda ingin dapat memanggil fungsi ke isi hati Anda, pastikan Anda melakukannya tepat sebelum mainitu sendiri dipanggil, setelah semua inisialisasi dilakukan. Untuk contoh berikut ini saya harus berterima kasih kepada Grubermensch yang menunjukkan cara menyembunyikan kata sandi yang dilewatkan sebagai argumen baris perintah yang getpassmenarik perhatian saya.

#define _GNU_SOURCE
#include <dlfcn.h>
#include <unistd.h>

static int (*real_main) (int, char * *, char * *);

static int my_main(int argc, char * * argv, char * * env) {
  char *pass = getpass(argv[argc - 1]);
  if (pass == NULL) return 1;
  argv[argc - 1] = pass;
  return real_main(argc, argv, env);
}

int __libc_start_main(
    int (*main) (int, char * *, char * *),
    int argc, char * * ubp_av,
    void (*init) (void),
    void (*fini) (void),
    void (*rtld_fini) (void),
    void (* stack_end)
  )
{
  int (*next)(
    int (*main) (int, char * *, char * *),
    int argc, char * * ubp_av,
    void (*init) (void),
    void (*fini) (void),
    void (*rtld_fini) (void),
    void (* stack_end)
  ) = dlsym(RTLD_NEXT, "__libc_start_main");
  real_main = main;
  return next(my_main, argc, ubp_av, init, fini, rtld_fini, stack_end);
}

Ini meminta kata sandi, sehingga Anda tidak lagi harus menjaga perpustakaan interposer rahasia. Argumen placeholder digunakan kembali sebagai kata sandi, jadi aktifkan seperti ini

LD_PRELOAD=$PWD/injectpassword.so darkcoind masternode start "Password: "

Alternatif lain akan membaca kata sandi dari deskriptor file (seperti mis. gpg --passphrase-fdLakukan), atau dari x11-ssh-askpass, atau apa pun.

Bukan hanya sejarah. Ini akan muncul dalam output ps juga.

Siapa pun yang menulis perangkat lunak itu harus digantung, ditarik, dan dipotong-potong. Ini mutlak TIDAK untuk memasok kata sandi pada command-line terlepas dari perangkat lunak apa pun itu.
Untuk proses daemon bahkan lebih LEBIH tak termaafkan ...

Selain rm -f pada perangkat lunak itu sendiri saya tidak tahu solusi apa pun untuk ini. Jujur: Temukan perangkat lunak lain untuk menyelesaikan pekerjaan. Jangan gunakan sampah seperti itu.

Ini akan menghapus psoutput.

MENJADI SANGAT Sadar : Ini bisa merusak aplikasi. Anda sepatutnya diperingatkan bahwa di sini ada naga.

• Proses asing tidak boleh mengotak-atik memori proses.
• Jika proses ini bergantung pada wilayah ini untuk kata sandi, Anda dapat merusak aplikasi Anda.
• Melakukan hal ini dapat merusak data kerja apa pun yang Anda miliki dalam proses itu.
• Ini adalah hack gila.

Sekarang Anda telah diberi tahu tentang peringatan yang mengerikan ini. Ini akan menghapus output yang ditampilkan di ps. Itu tidak akan menghapus riwayat Anda, juga tidak akan menghapus riwayat pekerjaan bash (seperti menjalankan proses seperti myprocess myargs &). Tetapi pstidak akan lagi menunjukkan argumen.

#!/usr/bin/python
import os, sys
import re

PAGESIZE=4096

if __name__ == "__main__":
  if len(sys.argv) < 2:
    sys.stderr.write("Must provide a pid\n")
    sys.exit(1)

  pid = sys.argv[1]

  try:
    cmdline = open("/proc/{0}/cmdline".format(pid)).read(8192)

    ## On linux, at least, argv is located in the stack. This is likely o/s
    ## independent.
    ## Open the maps file and obtain the stack address.
    maps = open("/proc/{0}/maps".format(pid)).read(65536)
    m = re.search('([0-9a-f]+)-([0-9a-f]+)\s+rw.+\[stack\]\n', maps)
    if not m:
      sys.stderr.write("Could not find stack in process\n");
      sys.exit(1)

    start = int("0x"+m.group(1), 0)
    end = int("0x"+m.group(2), 0)

    ## Open the mem file
    mem = open('/proc/{0}/mem'.format(pid), 'r+')
    ## As the stack grows downwards, start at the end. It is expected
    ## that the value we are looking for will be at the top of the stack
    ## somewhere
    ## Seek to the end of the stack minus a couple of pages.
    mem.seek(end-(2*PAGESIZE))

    ## Read this buffer to the end of the stack
    stackportion = mem.read(8192)
    ## look for a string matching cmdline. This is pretty dangerous.
    ## HERE BE DRAGONS
    m = re.search(cmdline, stackportion)
    if not m:
      ## cause this is an example dont try to search exhaustively, just give up
      sys.stderr.write("Could not find command line in the stack. Giving up.")
      sys.exit(1)

    ## Else, we got a hit. Rewind our file descriptor, plus where we found the first argument.
    mem.seek(end-(2*PAGESIZE)+m.start())
    ## Additionally, we'll keep arg0, as thats the program name.
    arg0len = len(cmdline.split("\x00")[0]) + 1
    mem.seek(arg0len, 1)

    ## lastly overwrite the remaining region with nulls.
    writeover = "\x00" * (len(cmdline)-arg0len)
    mem.write(writeover)

    ## cleanup
    mem.close()

  except OSError, IOError:
    sys.stderr.write("Cannot find pid\n")
    sys.exit(1)

Meminta program dengan menyimpannya, chmod +xitu. Kemudian melakukan ./whatever <pidoftarget> Jika ini berhasil, itu tidak akan menghasilkan output. Jika gagal, itu akan mengeluh tentang sesuatu dan berhenti.

Bisakah Anda meneruskan argumen dari file, hanya dapat diakses oleh root atau pengguna yang diperlukan?

Ini adalah TIDAK-tidak-besar untuk mengetikkan kata sandi di konsol, tapi jalan terakhir ... mulai baris Anda dengan spasi sehingga tidak muncul dalam sejarah.

Mungkin ini berhasil (?):

darkcoind masternode start `cat password.txt`

Sayangnya, jika darkcoindperintah Anda mengharapkan kata sandi sebagai argumen baris perintah, maka itu akan diekspos melalui utilitas seperti ps. Satu-satunya solusi nyata adalah mendidik pengembang .

Meskipun pspaparan mungkin tidak dapat dihindari, Anda setidaknya bisa menjaga agar kata sandi tidak ditulis dalam file histori shell.

$ xargs darkcoind masternode start

password⏎

CtrlD

File riwayat hanya boleh merekam xargs darkcoind masternode start, bukan kata sandi.

Seperti yang telah dinyatakan orang lain, lihat ke kontrol riwayat shell Anda untuk menyembunyikan informasi dari history.

Tapi satu hal yang sepertinya belum disarankan adalah untuk me /proc- mount dengan hidepidparameter. Coba ubah /procbaris Anda /etc/fstabuntuk disertakan hidepid, seperti ini:

# <file system> <mount point>   <type>  <options>       <dump>  <pass>
proc            /proc           proc    defaults,hidepid=2        0       0

Anda dapat menyimpan kata sandi dari riwayat shell Anda dengan mengeksekusi perintah dari proses shell baru, yang kemudian segera Anda akhiri. Sebagai contoh:

bash$ sh
sh$ darkcoind masternode start 'correct horse battery staple'
sh$ exit
bash$

Pastikan shdikonfigurasi untuk tidak menyimpan riwayatnya dalam file.

Tentu saja ini tidak mengatasi masalah lain, seperti kata sandi yang terlihat ps. Saya percaya, ada cara-cara bagi darkcoindprogram itu sendiri untuk menyembunyikan informasi ps, tetapi itu hanya memperpendek jendela kerentanan.

Untuk Bitcoin, jawaban pengembang resmi adalah dengan menggunakan pembungkus python yang disediakan di contrib/bitrpc/bitrpc.py( github ):

Ia meminta kata sandi dengan cara yang aman jika Anda menggunakan perintah walletpassphrase, misalnya. Tidak ada rencana untuk menambahkan fungsionalitas interaktif bitcoin-cli.

dan:

bitcoin-cli akan tetap apa adanya dan tidak mendapatkan fungsionalitas interaktif.

Sumber: # 2318

Buka dompet:

$ python bitrpc.py walletpassphrase

Ubah frasa sandi:

$ python bitrpc.py walletpassphrasechange

https://github.com/bitcoin/bitcoin/tree/master/contrib/bitrpc

Untuk darkcoin berfungsi sebagai anlog:

https://github.com/darkcoin/darkcoin/tree/master/contrib/bitrpc