Ограниченная оболочка
 | Эта статья написана как руководство или руководство . ( октябрь 2017 г. ) |
Ограниченная оболочка — это оболочка Unix , которая ограничивает некоторые возможности, доступные интерактивному сеансу пользователя или сценарию оболочки , выполняющемуся в ней. Он предназначен для обеспечения дополнительного уровня безопасности, но его недостаточно для запуска полностью ненадежного программного обеспечения. Операция ограниченного режима находится в исходной оболочке Bourne. [1] и его более поздний аналог Баш , [2] и в KornShell . [3] В некоторых случаях оболочка с ограниченным доступом используется вместе с тюрьмой chroot в попытке ограничить доступ к системе в целом.
Призыв
[ редактировать ]Ограниченный режим оболочки Bourne sh и его аналоги в POSIX используются, когда интерпретатор вызывается одним из следующих способов:
- sh -r обратите внимание, что это противоречит опции «чтение» в некоторых ш варианты
- rsh обратите внимание, что это может конфликтовать с командой удаленной оболочки , которая также называется rsh в некоторых системах
Ограниченный режим Bash используется, когда Bash вызывается одним из следующих способов:
- rbash
- bash -r
- bash --restricted
Аналогично, ограниченный режим KornShell создается путем его вызова следующим образом:
- rksh
- ksh -r
Настройка Рбаша
[ редактировать ]Для некоторых систем (например, CentOS ) вызов через rbash по умолчанию не включен, и пользователь получает команда не найдена ошибка при прямом вызове или ошибка входа в систему, если файл /etc/passwd указывает /bin/rbash в качестве оболочки пользователя.
Достаточно создать ссылку с именем rbash указывает прямо на баш . Хотя это вызывает Bash напрямую, без -r или --restricted опций, Bash распознает, что он был вызван через rbash , и он работает как оболочка с ограниченным доступом.
Это можно сделать с помощью следующих простых команд (выполняемых от имени пользователя root, либо вошедшего в систему как пользователь root, либо с помощью sudo ):
root@host:~# cd /bin
root@host:/bin# ln bash rbash
Ограниченные операции
[ редактировать ]Следующие операции не разрешены в ограниченной оболочке:
- изменение каталога
- указание абсолютных путей или имен, содержащих косую черту
- установка переменной PATH или SHELL
- перенаправление вывода
Bash добавляет дополнительные ограничения, в том числе: [2]
- ограничения на определения функций
- ограничения на использование имен файлов с косой чертой во встроенных функциях Bash
Ограничения в ограниченной оболочке KornShell во многом такие же, как и в ограниченной оболочке Bourne. [4]
Слабые стороны ограниченной оболочки
[ редактировать ]Ограниченная оболочка небезопасна. Пользователь может выйти из ограниченной среды, запустив программу с функцией оболочки. Ниже приведен пример функции оболочки в vi, используемой для выхода из ограниченной оболочки:
user@host:~$ vi
:set shell=/bin/sh
:shell
Или просто запустив новую неограниченную оболочку, если она есть в PATH , как показано здесь:
user@host:~$ rbash
user@host:~$ cd /
rbash: cd: restricted
user@host:~$ bash
user@host:~$ cd /
user@host:/$
Список программ
[ редактировать ]Помимо ограниченных режимов обычных оболочек, специализированные ограниченные программы оболочки включают в себя:
rssh– используется с OpenSSH , разрешая только определенные программы копирования файлов, а именно scp , sftp , rsync , cvs и rdist.smrsh, что ограничивает командыsendmailможет вызвать [5]
См. также
[ редактировать ]Ссылки
[ редактировать ]- ^ «Спецификация POSIX sh» . Архивировано из оригинала 21 декабря 2014 г. Проверено 4 октября 2010 г.
- ^ Перейти обратно: а б Руководство по GNU Bash
- ^ Руководство по ksh , Страница руководства по Solaris (SunOS 5.10), Oracle Inc.
- ^ Страница руководства ksh(1) , комплект документации IBM AIX
- ^
Косталес, Брайан; Ассманн, Клаус; Янсен, Джордж; Шапиро, Грегори Нил (2007). Отправить почту . Серия Орейли (4-е изд.). О'Рейли Медиа, Инк. с. 379. ИСБН 9780596510299 . Проверено 2 августа 2012 г.
В качестве помощи в предотвращении [...] атак sendmail V8.1 впервые предлагал программу smrsh ( оболочка с по почте ) ограниченным доступом электронной .