Quería saber si alguien obtuvo acceso a mi servidor utilizando una cuenta no root, ¿cuánto daño puede causar?
Después su someuserutilicé este comando para buscar todos los archivos y carpetas en los que se puede escribir.
find / -writable >> list.txt
Aquí está el resultado. Es más /dev/algo y /proc/algo y estos
/var/lock
/var/run/mysqld/mysqld.sock
/var/tmp
/var/lib/php5
¿Es mi sistema seguro? /var/tmp tiene sentido pero no estoy seguro de por qué este usuario tiene acceso de escritura a esas carpetas. ¿Debería cambiarlos?
stat /var/lib/php5me da 1733 que es impar. ¿Por qué escribir acceso? ¿Por qué no leer? ¿Es este algún tipo de uso extraño de un archivo temporal?
Respuesta1
Los usuarios necesitarán acceso a ciertas áreas a nivel del sistema para poder ejecutar cierto software. Por ejemplo, /var/run/mysqld/mysqld.sockdebe ser accesible para que puedan interactuar con las bases de datos.
/var/run en general tiene datos de tiempo de ejecución, como sockets Unix y archivos pid.
/var/lock contiene archivos de bloqueo para permitir que el software evite colisiones de lectura/escritura, etc. y para permitir la apertura exclusiva de archivos (bloqueo de archivos, etc.).
El /var/lib/php5 tiene un modo de acceso a archivos muy especial - 1733 - el 1 al principio es importante:
Deman chmod
1000 (the sticky bit). See chmod(2) and sticky(8).
Entonces, de man stickyobtenemos:
STICKY DIRECTORIES
A directory whose `sticky bit' is set becomes an append-only directory,
or, more accurately, a directory in which the deletion of files is
restricted. A file in a sticky directory may only be removed or renamed
by a user if the user has write permission for the directory and the user
is the owner of the file, the owner of the directory, or the super-user.
This feature is usefully applied to directories such as /tmp which must
be publicly writable but should deny users the license to arbitrarily
delete or rename each others' files.
Lo que eso significa es que es un modo de seguridad especial que permite a un usuario crear o editar archivos en un directorio, pero sólo el propietario del archivo puede eliminarlo.