Исходное сообщение
"Новый rootkit для Linux, выполняющий подстановку вредоносног..." Отправлено Michael Shigorin, 21-Ноя-12 23:29
> Товарищ видимо имел ввиду sys_module container capability bit: Товарищ, видимо, безнадёжен.  Продемонстрируем это на практике при помощи ALT Linux Sisyphus (x86_64), mkimage-profiles-0.9.0-alt1 и ядра 2.6.32-ovz-el-alt79: n02:~/mkimage/mkimage-profiles> cat conf.d/ve.mk # http://www.opennet.ru/openforum/vsluhforumID3/87401.html#81 ve/test: ve/generic         @$(call add,BASE_PACKAGES,kernel-image-ovz-el kmod) n02:~/mkimage/mkimage-profiles> make ve/test.tar.gz ** ARCH: x86_64 23:07:51 cleaning up 23:07:51 initializing BUILDDIR: build/ 23:07:52 preparing distro config 23:07:52 starting image build (coffee time) 23:08:41 done (0:49) ** image: ~/out/test-20121121-x86_64.tar.gz [76M] root@n02 ~ # mv ~mike/out/test-20121121-x86_64.tar.gz \   /var/lib/vz/template/cache/altlinux-sisyphus-test-x86_64.tar.gz root@n02 ~ # vzctl create 101 --ostemplate altlinux-sisyphus-test-x86_64 Creating container private area (altlinux-sisyphus-test-x86_64) 203MiB 0:00:00 [ 550MiB/s] [================================>] 100%             Performing postcreate actions CT configuration saved to /etc/vz/conf/101.conf Container private area was created root@n02 ~ # vzctl set 101 --capability sys_module:on --capability ve_admin:on --save CT configuration saved to /etc/vz/conf/101.conf root@n02 ~ # vzctl start 101 Starting container ... Container is mounted Setting CPU units: 1000 Container start in progress... root@n02 ~ # lsmod | grep dummy root@n02 ~ # vzctl exec 101 modprobe dummy ERROR: could not insert 'dummy': Operation not permitted root@n02 ~ # lsmod | grep dummy root@n02 ~ # _ > Вопрос лишь в том, что управление capabilities доступно с хоста > но никак не изнутри контейнера. Товарищ ещё и не в курсе частоты появления дырок класса local kernel, пригодных для того, что он попытался языком наляпать.  Последняя из тех, что беспокоили, была несколько лет тому в коркомёте (который в альте и так давно отключен по умолчанию по схожим соображениям).

Ваше сообщение
Имя*:
EMail:	Для отправки ответов на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	>> Товарищ видимо имел ввиду sys_module container capability bit: > Товарищ, видимо, безнадёжен. Продемонстрируем это на практике при помощи ALT Linux > Sisyphus (x86_64), mkimage-profiles-0.9.0-alt1 и ядра 2.6.32-ovz-el-alt79:[code]n02:~/mkimage/mkimage-profiles> > [b]cat conf.d/ve.mk[/b] > # http://www.opennet.ru/openforum/vsluhforumID3/87401.html#81 > ve/test: ve/generic > @$(call add,BASE_PACKAGES,kernel-image-ovz-el kmod) > n02:~/mkimage/mkimage-profiles> [b]make ve/test.tar.gz[/b] > ** ARCH: x86_64 > 23:07:51 cleaning up > 23:07:51 initializing BUILDDIR: build/ > 23:07:52 preparing distro config > 23:07:52 starting image build (coffee time) > 23:08:41 done (0:49) > ** image: ~/out/test-20121121-x86_64.tar.gz [76M] > root@n02 ~ # [b]mv ~mike/out/test-20121121-x86_64.tar.gz \ > /var/lib/vz/template/cache/altlinux-sisyphus-test-x86_64.tar.gz[/b] > root@n02 ~ # [b]vzctl create 101 --ostemplate altlinux-sisyphus-test-x86_64[/b] > Creating container private area (altlinux-sisyphus-test-x86_64) > 203MiB 0:00:00 [ 550MiB/s] [================================>] 100% > Performing postcreate actions > CT configuration saved to /etc/vz/conf/101.conf > Container private area was created > root@n02 ~ # [b]vzctl set 101 --capability sys_module:on --capability ve_admin:on --save[/b] > CT configuration saved to /etc/vz/conf/101.conf > root@n02 ~ # [b]vzctl start 101[/b] > Starting container ... > Container is mounted > Setting CPU units: 1000 > Container start in progress... > root@n02 ~ # [b]lsmod | grep dummy[/b] > root@n02 ~ # [b]vzctl exec 101 modprobe dummy[/b] > ERROR: could not insert 'dummy': Operation not permitted > root@n02 ~ # [b]lsmod | grep dummy[/b] > root@n02 ~ # _ > [/code] >> Вопрос лишь в том, что управление capabilities доступно с хоста >> но никак не изнутри контейнера. > Товарищ ещё и не в курсе частоты появления дырок класса local kernel, > пригодных для того, что он попытался языком наляпать. Последняя из > тех, что беспокоили, была несколько лет тому в коркомёте (который в > альте и так давно отключен по умолчанию по схожим соображениям).
	Введите код, изображенный на картинке: