Bisakah skrip dapat dieksekusi tetapi tidak dapat dibaca?

Apakah mungkin untuk menjalankan skrip jika tidak ada izin untuk membacanya? Dalam mode root, saya membuat skrip dan saya ingin pengguna lain mengeksekusi skrip ini tetapi tidak membacanya. Saya melakukan chmoduntuk melarang membaca dan menulis tetapi mengizinkan eksekusi, namun dalam mode pengguna, saya melihat pesan yang mengatakan: izin ditolak.

Masalahnya adalah bahwa script tidak apa yang sedang berjalan, tetapi juru ( bash, perl, python, dll). Dan penerjemah perlu membaca skrip. Ini berbeda dari program "biasa", seperti ls, dalam hal program dimuat langsung ke dalam kernel, seperti yang dilakukan oleh penerjemah. Karena kernel itu sendiri sedang membaca file program, tidak perlu khawatir tentang akses baca. Penerjemah perlu membaca file skrip, karena file normal perlu dibaca.

Ini hanya mungkin untuk binari.

$ chown foo:foo bar
$ chmod 701 bar

Sebagai pengguna yang tidak memiliki hak:

$ ls -lha bar
-rwx-----x 1 foo foo 7.0K 2012-03-15 03:06 bar

$ cat bar
cat: bar: Permission denied

$ ./bar
baz

Sekarang, inilah kickernya. Meskipun file tidak dapat dibaca dengan cara konvensional, Anda sebenarnya tidak dapat mencegah membaca file. Ini sebenarnya sebuah tantangan di http://smashthestack.org/ (level 13). Ada utilitas terkenal yang disebut hktraceyang memungkinkan Anda membaca file menggunakan ptrace.

Ini tidak mungkin, setidaknya di Linux (Unix lain mungkin mengizinkannya); Pikirkan tentang hal ini, ketika Anda menjalankan skrip, shell perlu membacanya untuk mengetahui apa yang harus dilakukan.

Anda bisa, saya pikir, melakukan ini dengan setuid.

Kecuali Anda tidak bisa karena sebagian besar distro (tampaknya) telah setuiddinonaktifkan karena ini merupakan lubang keamanan besar. Ini dinonaktifkan pada saya, jadi saya tidak benar-benar tahu bahwa jawaban ini akan berhasil, saya tetap mempostingnya karena saya pikir itu harus .

Lagi pula, jika saya ingin melakukan apa yang ingin Anda lakukan - dan saya memiliki distro yang setuiddiaktifkan untuk skrip - saya akan melakukan sesuatu seperti:

$ chmod 700 myscript
$ cat > myscript-nonroot
#!/bin/sh
bash myscript
^D
$ sudo chown root:root myscript-nonroot
$ sudo chmod 4755 myscript-nonroot # make SURE this isn't world-writable!

Artinya saya akan menulis skrip lain yang tujuan utamanya adalah memanggil skrip root-read-only, mengubahnya menjadi dimiliki oleh root, dan memberikannya setuid izin. (Bersamaan dengan status petugas yang tidak dapat ditulis oleh orang lain.)

Karena fungsi myscript-nonroot dapat dibaca oleh semua orang, itu dapat dibaca dan dieksekusi, dan saat Anda mendapatkan dua baris di mana Anda benar-benar mengeksekusi skrip Anda ( bash myscript) itu dijalankan sebagai root (atau siapa pun yang Anda inginkan, pengguna yang tepat tidak masalah, selama file wrapper dimiliki oleh pengguna yang sama.)

Pada situasi ini saya menggunakan sudo dengan opsi NOPASSWD sehingga pengguna dapat menjalankan skrip tanpa bisa membacanya.

Ada setengah kebenaran dari pernyataan sebelumnya. Anda dapat mengatur skrip sehingga tidak dapat dibaca oleh pengguna, tetapi masih dapat dieksekusi. Prosesnya sedikit berlarut-larut, tetapi bisa dilakukan dengan membuat pengecualian di / etc / sudoer sehingga pengguna dapat menjalankan skrip sebagai diri Anda sementara waktu tanpa diminta kata sandi. Metode ini: - menyiasati patch setuid untuk distro lain. - memungkinkan Anda untuk memberikan izin tinggi untuk skrip tertentu tanpa memberikan hak sudo pengguna untuk semuanya.

Ikuti instruksi pada posting ini: Izin file hanya dijalankan

Ini bekerja pada OpenBSD

Seperti yang telah disebutkan dalam komentar oleh @eradman, ini dimungkinkan pada OpenBSD.

Sebagai root:

hzy# cat <<'EOT' >/tmp/foo; chmod 001 /tmp/foo
#! /bin/sh
: this is secret
echo done
EOT

Sebagai pengguna biasa:

hzy$ cat /tmp/foo
cat: /tmp/foo: Permission denied
hzy$ /tmp/foo
done

Itu bekerja dengan mengirimkan /dev/fd/3(atau apa pun fd terbuka ke skrip) ke penerjemah. Trik itu tidak akan berfungsi di Linux, di mana /dev/fd/Nbukan perangkat karakter khusus yang mengembalikan a dup(2)fd ketika dibuka, tetapi "sulap" symlinks ke file asli / gigi, yang membuka file dari awal [1]. Ini dapat diimplementasikan dalam Free / NetBSD atau Solaris ...

Tapi itu bukan apa yang harus terjadi

Pada dasarnya memberikan xizin (mengeksekusi) berarti juga memberikan rizin (baca) pada file apa pun yang memiliki shebang [2]:

hzy$ cat /tmp/foo
cat: /tmp/foo: Permission denied
hzy$ ktrace -ti /tmp/foo
done
hzy$ kdump | tail -n8
 70154 sh       GIO   fd 10 read 38 bytes
       "#! /bin/sh
        : this is secret
        echo done
       "
 70154 sh       GIO   fd 1 wrote 5 bytes
       "done

ktracebukan satu-satunya cara; jika interpreter terkait secara dinamis dapat dieksekusi seperti perlatau python, LD_PRELOADhack ed yang menimpa read(2)fungsi dapat digunakan sebagai gantinya.

Dan tidak, menjadikannya setuid tidak akan mencegah pengguna biasa melihat kontennya; dia bisa menjalankannya di bawah ptrace(2), yang akan menyebabkan bit setuid diabaikan:

Sebagai root:

hzyS# cat <<'EOT' >/tmp/bar; chmod 4001 /tmp/bar
#! /bin/sh
: this is secret
id
EOT

Sebagai pengguna biasa:

hzyS$ ktrace -ti /tmp/bar
uid=1001(duns) euid=0(root) gid=1001(duns) groups=1001(duns)
hzyS$ kdump
    ... nothing, the kernel disabled the ktrace ...
hzyS$ cc -Wall -xc - -o pt <<'EOT'
#include <unistd.h>
#include <sys/types.h>
#include <sys/ptrace.h>
#include <sys/wait.h>
#include <signal.h>

int main(int ac, char **av){
        int s; pid_t pid;
        if((pid = fork()) == 0){
                ptrace(PT_TRACE_ME, 0, 0, 0);
                execvp(av[1], av + 1);
        }
        while(wait(&s) > 0 && WIFSTOPPED(s)){
                s = WSTOPSIG(s);
                ptrace(PT_CONTINUE, pid, (caddr_t)1, s == SIGTRAP ? 0 : s);
        }
}
EOT
hzyS$ ./pt ktrace -ti /tmp/bar
uid=1001(duns) gid=1001(duns) groups=1001(duns)
hzyS$ kdump | tail -5
 29543 sh       GIO   fd 10 read 31 bytes
       "#! /bin/sh
        : this is secret
        id
       "

(maaf jika ini bukan cara yang paling sulit untuk menunjukkannya)

[1] ini dapat ditiru di Linux dengan menggunakan binfmt_misc, tetapi penerjemah harus dimodifikasi, atau pembungkus harus digunakan; lihat bagian terakhir dari jawaban ini untuk contoh yang sengaja dibuat tidak aman.

[2] atau secara umum, file apa pun yang tidak akan menyebabkannya execve()kembali ENOEXEC.

Ya, jika Anda pengguna root, Anda dapat mengeksekusi file tanpa izin baca

# echo "echo hello" > test
# chmod 100 test
# ll test
---x------ 1 root root 10 Nov 29 12:13 test
# ./test
hello

Tetapi jika Anda masuk dengan pengguna lain, Anda tidak dapat menjalankan file ini

$ ./test
-bash: ./test: Permission denied

Untuk membuat skrip Anda tidak dapat dibaca namun dapat dieksekusi, Anda memiliki 3 opsi utama:

Pilihan pertama

Gunakan perintah openssl untuk mengenkripsi secara manual. Dan di masa mendatang, ketika Anda ingin menjalankan skrip, Anda harus menjalankan openssl secara manual lagi, dan memberikan kata sandi untuk didekripsi.

Enkripsi dengan openssl:

cat yourscript.sh | openssl aes-128-cbc -a -salt -k yourpassword> yourscript.enc

Dekripsi dengan openssl:

cat yourscript.enc | openssl aes-128-cbc -a -d -salt -k yourpassword> yourscript.dec

herscript.dec akan sama dengan script asli milikmu Script Anda

Opsi kedua

Gunakan situs seperti www.Enscryption.com untuk mengenkripsi skrip Anda secara otomatis dan membuat versi terenkripsi dari skrip tersebut dapat dieksekusi. Situs ini menggunakan kemampuan enkripsi openssl dan beberapa metode kebingungan lainnya untuk menyulitkan penyusup untuk membuka skrip Anda atau mengungkap rahasia yang ingin Anda sembunyikan. Dengan situs ini, Anda dapat mengenkripsi skrip shell dan perl baris perintah, skrip python, ruby. Saya pikir php juga.

Opsi ketiga

Gunakan alat seperti shc . Sepertinya belum diperbarui sejak 2012. tapi saya telah menggunakannya di masa lalu. Anda harus mengkompilasi skrip untuk setiap OS tempat Anda ingin menggunakannya, jika OS berbeda dari yang Anda gunakan untuk mengompilasinya.

Ringkasan:

Jika menyembunyikan kode Anda sangat penting bagi Anda, hanya mengandalkan izin dan kepemilikan akan membantu Anda, karena siapa pun dengan root dapat melakukannya. Itu hanya fakta. Apa yang dapat Anda lakukan, jika Anda benar-benar ingin mencegah melihat kode Anda oleh orang lain adalah menulis skrip di sekitar perintah openssl. Buat agar, sebelum skrip berjalan, itu akan meminta kata sandi DAN setelah kata sandi diberikan, itu akan menjalankan skrip tanpa menulisnya ke file temp. Jika ini kedengarannya terlalu banyak bekerja maka opsi 2 dan 3 harus cukup untuk tujuan Anda.