Но в мануал сейчас заглянул. Однако там не нашлось упомянутого ключа. Причем не только у меня во фрях 4.8 и 5.1, но и на доступном линуксе и на 8-ой солярке. Где это живет umount с таким ключиком?
В принципе, все работает. Но на мой взгляд, то что приходится давать доступ к
/proc (запрашивается /proc/net/dev) не есть надежно. Можно ли
поступить другим образом? Любые замечания и рекомендации приветствуются.
а этот honeyd после старта под юзера переходит?16.12.03 19:10 Автор: LLL <Алексей> Статус: Member
а именно - необходимость давать доступ к /proc/net/dev, а как это сделать не монтируя весь раздел /proc я не догадался. если иметь доступ к /proc то выломиться из клетки еще легче.
а ОС позволяет монтировать подкаталоги из /proc как каталоги локальных ФС?16.12.03 20:03 Автор: LLL <Алексей> Статус: Member
Ёёё!
Попробовал у себя во фре4.8 такую фишку... Вроде все нормально, даже ls -l по смонтированному каталогу отработал. Но ls -l по родительскому для точки монтирования каталогу ушел в состояние D. Туда же ушли несколько попыток umount'а (с форсом в том числе) и повторная попытка пролистать сам смонтированный каталог :-(((
Похоже сервак теперь спасет только ребут, как бы ни было неприятно проводить эту процедуру на серваке :-(
М.б. Ваша ОС лучше справится с такой задачей ;-)
> Ёёё! > Попробовал у себя во фре4.8 такую фишку... Вроде все > нормально, даже ls -l по смонтированному каталогу > отработал. Но ls -l по родительскому для точки монтирования > каталогу ушел в состояние D. Туда же ушли несколько попыток > umount'а (с форсом в том числе) и повторная попытка > пролистать сам смонтированный каталог :-((( > Похоже сервак теперь спасет только ребут, как бы ни было > неприятно проводить эту процедуру на серваке :-( umount -l не спасет отца русской демократии?
поздно... с утра сервак ребутнул, не заходя на форум17.12.03 11:25 Автор: LLL <Алексей> Статус: Member
Но в мануал сейчас заглянул. Однако там не нашлось упомянутого ключа. Причем не только у меня во фрях 4.8 и 5.1, но и на доступном линуксе и на 8-ой солярке. Где это живет umount с таким ключиком?
> > umount -l не спасет отца русской демократии? > > Но в мануал сейчас заглянул. Однако там не нашлось > упомянутого ключа. Причем не только у меня во фрях 4.8 и > 5.1, но и на доступном линуксе и на 8-ой солярке. Где это > живет umount с таким ключиком?
Не знаю как во фре, но в линуксе, как раз, и есть этот ключ.
-l Lazy unmount. Detach the filesystem from the
filesystem hierarchy now, and cleanup all refer-
ences to the filesystem as soon as it is not busy
anymore. (Requires kernel 2.4.11 or later.)
линукс мне попался весьма древний17.12.03 19:18 Автор: LLL <Алексей> Статус: Member
обладая несколько нудным характером, вернусь к началу тему.
honeyd для работы требует рутовых привелегий - это минус.
а частичным плюсом есть то, что работает с только одним процессом /proc/net/dev -> mount --bind -t proc /proc/net iail/proc/net
дает хоть какую то иллюзию.
Вывод, в таких условиях из chroot jail можно выломиться.
Если есть замечания, выслушаю с удовольствием.
есть тут еще одна мысль по теме17.12.03 19:56 Автор: LLL <Алексей> Статус: Member
> а частичным плюсом есть то, что работает с только одним > процессом /proc/net/dev -> mount --bind -t proc > /proc/net iail/proc/net
Не процессом, а файлом наверно?
Только я не понял, этот хитрый вызов mount'а только /proc/net в chroot'е организует?
> дает хоть какую то иллюзию. > Вывод, в таких условиях из chroot jail можно выломиться.
К сожалению, я не в курсе, что можно через /proc/net сотворить.
> Если есть замечания, выслушаю с удовольствием.
Если дрессируемая прога с сырцами, то ее можно переделать, либо изменив политику работы с /proc/net/dev (допустим, чтоб оно его открывало в начале работы и сразу после этого само chroot() делало), либо научив работать с net/dev через какой-нить файл-прокси (мелкую утилиту, которая по запросам через файл-сокеты или еще по каким-то каналам выдает инфу из требуемого файла). Утилита, разумеется, должна запускаться не в chroot'е, но она мелкая, значит по замыслу правильная с т.з. безопасности.
да
18.12.03 09:19 Автор: Al Статус: Незарегистрированный пользователь
>> /proc/net/dev -> mount --bind -t proc /proc/net iail/proc/net
> /proc/net в chroot'е организует? да
> > Вывод, в таких условиях из chroot jail можно выломиться. > К сожалению, я не в курсе, что можно через /proc/net > сотворить. я тоже, но пожалуй. это не означает что уйти нельзя.
> > Если дрессируемая прога с сырцами, то ее можно переделать,
подробно о проекте
Анализ криптографических сетевых...
новое сообщение
закрытая нитка
новое сообщение
в закрытой нитке
старое сообщение
