Почему корковые некоторые из моих мускатных вин выкатились?

Когда процесс выполняет команду (с помощью вызова execve() системный вызов), его память стерта. Чтобы передать какую-то информацию через выполнение вызова execve() системные вызовы принимает два аргумента для этого: в переменной argv[] и параметре envp[] массивы.

Эти два массива строк:

• аргумент argv[] содержит аргументов
• параметре envp[] содержится в переменной окружения определений как строки в ВАР=значение формат (по Конвенции).

Когда вы делаете:

экспортировать секрет=значение; УМК "$секретно"

(здесь добавлены недостающие кавычки разложения по параметру).

Вы выполняете команду cmd с секретом (стоимость) передается в переменной argv[] и параметре envp[]. из argv[] будет ["УМК", "значение"] и параметре envp[] что-то вроде [..., "путь=/ОГРН:...", "дома=...", ..., "секрет=значение", "термин=в xterm", ...]. В качестве УМК не выполняет функции getenv("секрет") или эквивалент для получения значения секретного из этого секрет переменной окружения, поставив его в окружающей среде-это не полезно.

из argv[] , является общеизвестным фактом. Он показывает на выходе из ПС. параметре envp[] в настоящее время нет. На Linux, это показывает, что в файле/proc/пид/окру. Он показывает на выход зы тьфу на ОС семейства BSD (и с procps по-НГ, ПС на Linux), но только для процессов, запущенных с же эффективный идентификатор пользователя (и с более ограничения для битов setuid/описание GNU исполняемые файлы). Он может показать в некоторых журналах аудита, но эти журналы аудита должны быть доступны только администраторам.

Короче среды, которая передается в исполняемый файл предназначается, чтобы быть частным или, по крайней мере, о том, как частные, как во внутренней памяти процесса (который при определенных обстоятельствах другой процесс с соответствующими привилегиями может также открыть с помощью отладчика, например, а также могут быть сброшены на диск).

С переменной argv[] общеизвестно, что команда ожидает, что данные предназначены для секрет в командной строке нарушается дизайн.

Как правило, команды, которые должны быть в секрете, обеспечивает интерфейс для этого, как через переменную среды. Например:

IPMI_PASSWORD=секрет ipmitool -я Лан-у админ...

Или через специальный файловый дескриптор стандартного ввода как:

Эхо секрет | OpenSSL и ОГА -мимо стандартного ввода ...

(Эхо быть встроенный, его не видно в выводе ПС)

Или файл, как .netrc ПО для фтп и несколько других команд или

в MySQL --по умолчанию-дополнительно-файл=/некоторые/файла/с/паролями ....

Некоторые приложения, такие как завиток (и это тоже подход @meuh здесь) пытаются скрыть пароль, который они получили в переменной argv[] от чужих глаз (на некоторых системах путем перезаписи область памяти, где из argv[] строки были сохранены). Но это не очень помогает и дает ложное обещание безопасности. Что оставляет окно между вызова execve() и перезапись, где ПС еще покажет секрет.

Например, если злоумышленник знает, что вы используете скрипт делает завиток -U пользователь:somesecret протоколу HTTPS://... (например, в cron-задание), все, что он должен сделать, это выселить из кэша (много) библиотеки, завиток использует (например, выполнив Ш-с 'А=А;а :; у А=$В$С;сделано') таким образом, чтобы замедлить его запуска и даже делая очень неэффективно , пока команда grep 'завиток.*[-]у' в /proc/*/командной строки; у :; сделал достаточно, чтобы поймать этот пароль в моих тестах.

Если аргументы только так можно передать секрет команды, там еще могут быть некоторые вещи, которые вы могли бы попробовать.

На некоторых системах, включая старые версии Linux, только первые несколько байт (4096 на Linux 4.1 и раньше) строк в переменной argv[] могут быть запрошены.

Там, вы могли бы сделать:

(свдв -это "$(е %-4096s УМК)" УМК "$секретно")

И секрет будет скрыт, потому что это последние 4096 байт. Теперь люди, которые использовали этот метод должен сожалеть об этом теперь, так как Linux начиная с 4.2 уже не усекает список аргументов в файле/proc/пид/командной строки. Также обратите внимание, что это не потому, что ПС не будет показывать больше чем на столько-то байт из командной строки (как во FreeBSD, где, кажется, быть ограничена до 2048), что нельзя использовать тот же API ПС использует, чтобы получить больше. Такой подход является допустимым, однако в системах, где ПС - это единственный способ для обычного пользователя, чтобы получить эту информацию (например, когда API является привилегированным и ПС является использования setgid и setuid в того, чтобы использовать его), но это все еще, возможно, не в будущем есть.

Другой подход может быть, чтобы не сдать секрет в переменной argv[] но внедрить код в программу (используя отладчик GDB или $LD_PRELOAD взломать) до функции main() запускается, что вставляет секрет в переменной argv[] полученных от вызова execve().

С LD_PRELOAD, для некурящих, с setuid/описание GNU динамически скомпонованных исполняемых файлов на система GNU:

/* 
 * заменить ***** с секретом читать от FD 9
 * ССЗ -стены -спос -общая -о inject_secret.так inject_secret.с-ЛПНП 
 * LD_PRELOAD=/.../inject_secret.так ЦМД -п '*****' 9<<< секрет
*/
#определите _gnu_source
#включить <stdlib.ч>
#включить <строка.ч>
#включить <запустите.ч>
код #include <dlfcn.ч>

#определить заполнитель "*****"
статические чар секрет[1024];

инт __библиотеки libc_начало_основной(тип int (*основная) (тип int с char**, char*в*),
 АГДС,
 типа char **argv, которая,
 пустота (*инит) (недействительным),
 пустота (*Фини)(недействительным),
 пустота (*rtld_fini)(недействительным),
 пустота (*stack_end)){
 статический тип int (*real_libc_start_main)() = нуль;
 инт Н;

 если (!real_libc_start_main) {
 real_libc_start_main = функция dlsym(RTLD_NEXT, "__библиотеки libc_начать_основной");
 если (!real_libc_start_main) прервать();
}

 н = Читать(9, секрет, как sizeof(секрет));
 если (n > 0) {
 инт я;

 если (секрет[Н - 1] == '\п') секрет [- н] = '\0'; 
 Для (я = 1; я < АГДС; я++)
 если (чего strcmp(argv в[я], заполнитель) == 0)
 агду[я] = секрет;
}

 возвращение real_libc_start_main(основной, переменной argc, argv, которая, инит, Фини
 rtld_fini, stack_end);
}

Затем:

$ Оук -стены -спос -общая -о inject_secret.так inject_secret.с-ЛПНП
$ LD_PRELOAD=$ФРД/inject_secret.так что ПС '*****' 9<<< "-opid,аргументы"
 КОМАНДА ПИД 
 7659 /ОГРН/ЗШ
 8828 ПС *****

Ни в коем случае бы ПС показали ПС-opid,аргументы есть (-opid,аргументы быть секрет в этом примере). Обратите внимание, что мы заменяем элементы массива argv[] массив указателей, а не переопределение строки, на которые указывают эти указатели, который является, почему наши изменения не показывают в результатах ПС.

С помощью GDB, еще не установлен setuid/описание GNU динамически скомпонованных исполняемых файлов и на GNU систем:

ТМП=$(mktemp) && кот << ВФ > "$ТМП" &&
перерыв __библиотеки libc_начало_главный
команды 1
набор из argv[1]="-opid,аргументы"
далее
конец
запустить
ВФ

ГДБ -Н --партии-молчат --вернуть ребенку-результат -х "$ТМП" --аргументы ПС '*****'
РМ -Ф -- "$ТМП"

Еще с помощью GDB, а не-GNU специального подхода, который не полагаться на исполняемых файлах, динамически связаны или иметь отладочные символы и должны работать на любой бинарники под Linux, по крайней мере, может быть:

#! /Бен/ш -
# ГДБ+ш полиглот скрипт на замену "*****" аргументы с содержанием
# переменной секретной среды *после* для execve и перед вызовом
# главного исполняемого файла (функция).
#
# Использование: секрет=somesecret УМК --пароль*****'

если ':' - ':'
тогда
 # работает в ш
 # получить адрес начала исполняемого
старт=$(
 Значение lc_all=objdump -Ф С -- "$(команда -в -- "${1?}")" |
 СЕПГ -н 'с/^начальный адрес //п'
)
 [ -Н "$старт" ] || выход
 # повторно старпома себя с помощью GDB.
 старпома ГДБ -Н --партии-молчат --вернуть ребенку-результат -IEX по "набор \$начать = $Старт" -Х "$0" --аргументы "$@"
 выход 1
интернет
конец
# бег в GDB
перерыв *$начать
команды 1
 # Стек при запуске содержит:
 # АГДС и argv[0]... агду[АГДС-1] 0 параметре envp[0] параметре envp[1]... 0 argv[] и параметре envp[] строк
 набор $АГДС = *((инт*)$СП)
 набор $агду = &((типа char**)$СП)[1]
 набор $параметре envp = &($массива argv[$АГДС+1])
 набор $Я = 0
 в то время как $параметре envp[$я]
 # искать параметре envp[] строка начиная с "секретные=". Мы не можем воспользуйтесь strcmp()
 # здесь нет никакой гарантии, что отлаженная исполняемый такая
 # функция
 набор $е = $параметре envp[$я]
 если $е[0] == 'С' && \
 $Е[1] == 'е' && \
 $е[2] == 'с' && \
 $Е[3] == 'р' && \
 $е[4] == 'е' && \
 $е[5] == 'т' && \
 $е[6] == '='
 набор $секрет = &($е[7])
 # заменить секрет=ХХХ<нул> с испол=<нул>
 набор $е[5] = '='
 набор $е[6] = '\0'
 # не называя loop_break как это вызывает SEGV с моими версию GDB
конец
 набор $я = я + 1
конец
 если $секрет
 # теперь ищу из argv[] строк "*****" и заменить их
 # секрет, выявленных ранее
 набор $Я = 0
 хотя $я < $АГДС
 множестве $a = $агду[$я]
 если $a[0] == '*' && \
 долларов[1] == '*' && \
 долларов[2] == '*' && \
 долларов[3] == '*' && \
 долларов[4] == '*' && \
 $а[5] == '\0'
 набор $массива argv[$я] = $секрет
конец
 набор $я = я + 1
конец
конец
 # с помощью "продолжить" как "отстегнуть" вызывает SEGV с моими версию GDB.
далее
конец
запустить

Тестирование с статически слинкованный исполняемый файл:

$ Секрет=в/proc/самостоятельной/командной строки ./replace_secret busybox и кошки '*****' | ТР '\0' '\п'
как /bin/busybox и
кошка
*****

Если исполняемый файл может быть статичным, у нас нет надежного способа выделить память для того чтобы хранить тайну, поэтому мы должны сделать секрет из какого-то другого, что уже находится в памяти процесса. Вот почему Environ является очевидным выбором здесь. Мы также скрывать, что секрет ОКР ВАР процесса (путем изменения его в дверях=), чтобы избежать его утечки, если процесс решит свалить ее окружения по какому-то поводу или выполнить ненадежных приложений.

Что также работает на Solaris 11 (при условии, GDB и GNU binutils выступает установлены (возможно, вам придется переименовать objdump в gobjdump).

На FreeBSD (по крайней мере, архитектуру x86_64, я не уверен, что те первые 24 байта (которые превращаются в 16, когда ГДБ (8.0.1) является интерактивной, предполагая, что там может быть ошибка в GDB есть) в стеке), заменить АГДС и argv в определения:

установить это $argc = *((инт*)($СП + 24))
набор $агду = &((типа char**)$СП)[4]

(вам также может понадобиться, чтобы установить ГДБ пакет/порт в качестве версии, что в противном случае поставляется с системой древнее).