Re: programma di login contraffatto!

On Sat, Oct 06, 2001 at 12:46:50PM +0200, Pardo wrote:
~ E` possibile per un utente normale scrivere ed eseguire un programma che
~ sembra il vero login, ma che in realta` esegue un `su' dopo avere annotato
~ nome e password di chi si logga?
si, se un altro utente ha accesso al suo profile puo` cambiare il path ad
esempio o mettere un alias in modo che quando vien chiamato su si avvi
in verita` un su nascosto in qualcosa come ~/.gnupg/.key/.tempgen/.var/sufake
:)

~ Siii...
si se ha accesso al profile, se si usa un utente solo "di login" x poi
far si che gli altri utenti vadano in giro con su(1) x il sistema allora
e` possibile.

~ Ma la domanda piuttosto e` com'e` possibile che in qualsiasi distro di
~ linux non ci sia gia` protezione di default per un giochetto cosi`
~ semplice (oppure perche` anche della gente abbastanza esperta trascura il
~ problema del `su' nei propri sistemi...).
la gente abbastanza esperta non da utenti utilizzabili da tutti, ma solo
dall'utente.

il "cambio" del su e` possibile se un utente lo fa' x se stesso, xke` il profile
da cui dipende il PATH o eventuali alias dipendono da lui stesso.

per poterlo evitare bisognerebbe lavorare a un layer + alto (NON mettere il
PATH immodificabile xke` con un alias si fa' la stessa cosa e non e` facile
accorgersene, mettere i file di .rc della shell solo con perm da root e` 
una limitazione stupida ...mettere un modulo che checki se su(1) viene chiamato
da bash o da un programma wrapper e` possibile ...) ma in una situazione 
simile non e` solo il su(1) un programma succulento ma anche altri prog...

~ Sono certo che questo trucchetto viene impiegato proficuamente in un sacco
~ di posti... ad esempio lab universitari...
boh nei lab dell'uniMI uno studente ha il suo utente ed e` solo suo, se 
in altre universita` esiste l'utente "studente" allora volendo qualcuno
potrebbe mettere anche un bel keylogger che stia su /dev/tty a leggere
e prendere OGNI tasto battuto dagli altri utilizzatori di quell'account.

(e se un admin lo fa' fare, se lo merita :)

ciao ciao

________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List