जवाबों:
मैं एक सुरक्षा विशेषज्ञ नहीं हूं, लेकिन सिर्फ वेब ब्राउज़ कर रहा हूं, मैं इसके साथ आया हूं:
हालाँकि, कुछ सिस्टम निर्देशिकाएं हैं, जैसे कि यूनिक्स / tmp निर्देशिका, कि अतिथि खाता उस पर डेटा लिख सकता है या लॉगआउट (या जबरन पुनः आरंभ) पर हटाया नहीं जा सकता है। अतिथि के पास किसी भी इंस्टॉल किए गए एप्लिकेशन तक पहुंच है, जिसका उपयोग आपके कंप्यूटर से दुर्भावनापूर्ण कार्य करने के लिए किया जा सकता है । यदि आपको अतिथि खाते का उपयोग करना चाहिए, तो अभिभावकीय नियंत्रणों का उपयोग करके इसकी पहुंच सीमित करें। ( मैकवर्ल्ड )
निम्नलिखित / tmp निर्देशिका भेद्यता पर, मुझे यह मिला:
लगभग हर सुरक्षा पेशेवर को पता है कि / tmp वह पहला स्थान है जिसे हैकर अपने दुर्भावनापूर्ण सॉफ़्टवेयर और स्क्रिप्ट को आगे बढ़ाने के लिए रूट एक्सेस के लिए देखेगा। हालाँकि, सिस्टम / tmp की सुरक्षा के कई तरीके हैं। इस लेख में आपको लिनक्स और यूनिक्स के लिए सुरक्षित / tmp बनाने की एक सरल विधि दिखाई जाएगी। ( पैटकूप )
यदि आप कुछ उदाहरण चाहते हैं कि एक दुर्भावनापूर्ण हैकर उनके लाभ के लिए / tmp निर्देशिका का उपयोग कैसे कर सकता है, तो आप यहाँ जाएँ:
कार्यक्रमों द्वारा उपयोग की जाने वाली अस्थायी फ़ाइलों को रखने के लिए / tmp (या / var / tmp या सम / dev / shm) नामक निर्देशिका का उपयोग करना एक यूनिक्स परंपरा है। यह उपयोगकर्ता की होम डायरेक्टरी को पुरानी बेकार फाइलों से भरा होने से रोकता है।
चूंकि हर कोई / tmp निर्देशिका में फाइलें लिख सकता है, स्वाभाविक रूप से कुछ सुरक्षा चिंताएं हैं। / Tmp की एक विशेषता यह है कि इसमें टेक्स्ट (या चिपचिपा) बिट सेट है, जिसका अर्थ है कि केवल मालिक (या रूट) उस निर्देशिका में फ़ाइलों को हटा या नाम बदल सकता है। हालाँकि अगर कोई दुष्ट हैकर आपके फ़ाइलनामों की भविष्यवाणी कर सकता है, तो वे उस फ़ाइल को पहले बना सकते हैं (सेवा से वंचित)। वे आपकी फ़ाइलों को भी पढ़ सकते हैं, यदि 022 के डिफ़ॉल्ट umask मान का उपयोग करके बनाया गया है। भले ही आप तुरंत अनुमतियों को बदलते हैं, फ़ाइल का उपयोग करने के अवसर की एक खिड़की होगी (कभी-कभी एक दौड़ की स्थिति कहा जाता है)। ( http://content.hccfl.edu/pollock/ShScript/TempFile.htm )
एक बार फिर, मुझे सुरक्षा के बारे में ज्यादा जानकारी नहीं है, इसलिए उद्धरणों से कुछ जानकारी गलत हो सकती है।
इसमें से अधिकांश / tmp निर्देशिका की कमजोरियों पर जा रहा था, लेकिन पहले उद्धरण में यह निहित है कि अन्य सिस्टम निर्देशिकाएं हैं जिन्हें संभवतः अतिथि खाते से एक्सेस किया जा सकता है। हालांकि, जब तक आपके पास शीर्ष गुप्त सरकारी जानकारी नहीं होती, मुझे संदेह है कि अतिथि खाते को सक्षम करने के लिए यह बहुत अधिक जोखिम है।
/tmpजोखिम बहुत, ओएस एक्स पर कम हो जाता है के बाद से प्रत्येक उपयोगकर्ता के लिए एक निजी अस्थायी निर्देशिका है वातावरण चर द्वारा की ओर इशारा कियाTMPDIR। शायद सभी सॉफ़्टवेयर इस चर का सम्मान नहीं करते हैं, लेकिन यह तेजी से सामान्य हो रहा है।