Исходное сообщение
"Уязвимость в Apache Struts стала причиной утечки персональны..." Отправлено пох, 11-Сен-17 22:50
> Кстати, мужики! Мне тут рассказали про capabilities. Оказывается, нынче не надо > запускаться от рута и сбрасывать потом права, а достаточно лишь сказать вот так, и > приложение сможет слушать порт < 1024: а заодно, если поймаешь в нем remote exec - то же самое сможет делать и экзекнутый код. Причем, в таком варианте - любой свободный порт, не только 80й. Не надо так делать, если только программа об этом всем не в курсе, и умеет и эти привиллегии сбросить (это гораздо нетривиальнее и системозависимо). uid0+listen+set(e)uid - значительно более надежный и безобидный набор (поскольку в этом месте не обрабатываются данные из недоверенных источников, обоcраться тут сложно). Попутно можно сделать еще много всего интересного, что нежелательно оставлять открытым - поднять max sockets, открыть рутовые логи, недоступные дочерним процессам даже на чтение, и т д (chroot, на худой конец - после того, как все нужное выше точки уже открыто или обработано и закрыто). ну, понятен, жабоедам это все малодоступно, разьве что через пресловутый jsvc (опять на сях, да шо ж это деется-то?) - который, кстати, в линуксе вроде и seccomp умеет.