दो रूट खाते हैं, क्या करें?

Question

मैं Ubuntu 15.04 पर हूं और आज मैं इस लिंक से लिनक्स सुरक्षा के बारे में एक लेख पढ़ रहा हूं ।

UID 0 खाते के भाग तक सब कुछ अच्छा हुआ

केवल रूट में UID 0. होना चाहिए। उस UID के साथ एक अन्य खाता अक्सर पिछले दरवाजे का पर्याय बन जाता है।

जब उन्होंने मुझे आज्ञा दी, तो मुझे पता चला कि एक और रूट खाता है। बस उसके बाद मैंने खाते को अक्षम कर दिया जैसा कि लेख करता है लेकिन मैं इस खाते से डरता हूं, मैं उसे ढूंढ सकता हूं/etc/passwd

rootk:x:0:500::/:/bin/false

और में /etc/shadow

rootk:!$6$loVamV9N$TorjQ2i4UATqZs0WUneMGRCDFGgrRA8OoJqoO3CCLzbeQm5eLx.VaJHeVXUgAV7E5hgvDTM4BAe7XonW6xmup1:16795:0:99999:7::1:

मैंने इस खाते को हटाने की कोशिश की, userdel rootkलेकिन यह त्रुटि मिली;

userdel: user rootk is currently used by process 1

प्रक्रिया 1 सिस्टमड है। किसी ने मुझे कुछ सलाह दे सकते हैं कृपया? क्या मुझे userdel -f? क्या यह खाता सामान्य रूट खाता है?

Comments

मुझे दृढ़ता से संदेह है कि यह त्रुटि केवल इसलिए है क्योंकि उनके पास एक ही यूआईडी (0) है। मैंने एक मौजूदा यूआईडी के साथ दूसरा उपयोगकर्ता बनाकर सिर्फ एक परीक्षण किया था और यह पहले वाले के रूप में रिपोर्ट किया गया था /etc/passwd। मुझे यह भी संदेह है कि उस खाते को हटाने से मशीन पर कोई प्रभाव पड़ सकता है क्योंकि फाइलें और प्रक्रियाएं यूआईडी का उल्लेख करती हैं न कि उपयोगकर्ता नाम का। यह सलाह दी जाएगी (हालांकि सबसे अधिक संभावना की आवश्यकता नहीं है ) एक रिकवरी डिस्क काम के लिए है, लेकिन मैं इसे हटा दूंगा और मशीन को बिना किसी चिंता के पुनः आरंभ करूंगा।

— जूली पेलेटियर

/etc/passwd& से निकाले गए रूटक /etc/shadow; रिबूट किया गया और अब सब कुछ अच्छा है, रूट केवल एक है जिसे रूट उपयोगकर्ता के रूप में दिखाया गया है आपकी मदद के लिए धन्यवाद!

— लुलज़ेक

किसी भी स्थिति में, कुछ रूट-किट डिटेक्टर को चलाने का प्रयास करें, क्योंकि आप शायद एक से संक्रमित हो सकते हैं। rootkबहुत संदिग्ध नाम है, और एक गैर-अक्षम पासवर्ड होने से एक ट्रोजन घोड़े द्वारा पराजित होने का एक लक्षण बदतर है। वैसे, प्रविष्टि को न हटाएं, इसे निष्क्रिय करने के लिए पासवर्ड फ़ील्ड पर बस कुछ अक्षर डालें, क्योंकि यह आपको यह जानने के लिए सुराग देगा कि आप कैसे संक्रमित हुए।

— लुइस कोलोराडो

@DarkHeart, नहींं, मुझे डर नहीं है ... लेकिन एक rootkमान्य मान्य पासवर्ड (अक्षम नहीं) के साथ एक खाता होना कुछ नेटवर्क शोषण या स्थानीय उपयोगकर्ता द्वारा रूट खाते के दुरुपयोग का एक मजबूत लक्षण है। जैसा कि हम कहते हैं: "पवित्र वर्जिन पर भरोसा करो, और भागो मत ..."। वैसे, क्या आपको लगता है कि मैं एक सोलह साल का व्यक्ति हूं, जिसका यूनिक्स / लिनक्स में कोई अनुभव नहीं है? :(

— लुइस कोलोराडो

यह जाँच कर सकता /bin/falseहै कि क्या वास्तविक फ़ाइल चल रही है sudo dpkg -V coreutils। यदि इसे बदल दिया गया है, तो कृपया सब कुछ पुनर्स्थापित करने पर विचार करें। उबंटू 15.04 6 महीने के लिए ईओएल रहा है, इसलिए किसी भी मौजूदा और भविष्य के सुरक्षा छेद तय नहीं होने जा रहे हैं, इसलिए आप 16.04 जैसे एक नए संस्करण को स्थापित करना चाह सकते हैं।

— मार्क प्लॉटनिक

Answer 1

प्रक्रियाएं और फाइलें वास्तव में उपयोगकर्ता आईडी नंबरों के स्वामित्व में हैं, न कि उपयोगकर्ता नाम। rootkऔर rootएक ही यूआईडी है, इसलिए एक के स्वामित्व वाली सब कुछ दूसरे के स्वामित्व में भी है। आपके विवरण के आधार पर, ऐसा लगता है userdelकि संबंधित rootkउपयोगकर्ता के रूप में हर रूट प्रक्रिया (UID 0) देखी गई ।

इस मैन पेज के अनुसार , सक्रिय प्रक्रिया होने पर भी खाते से बल हटाने का userdelविकल्प -fहै। और userdelशायद rootkवास्तविक रूट खाते को प्रभावित किए बिना, बस पासवार्ड प्रविष्टि और होम डायरेक्टरी को हटा देगा ।

सुरक्षित होने के लिए, मुझे प्रविष्टि को हटाने के लिए पासवर्ड फ़ाइल को हाथ से संपादित करने की इच्छा हो सकती है rootk, फिर rootkहोम-डायरेक्टरी को हाथ से हटा दें । आपके नाम के सिस्टम पर आपकी कमांड हो सकती हैvipw , जो आपको /etc/passwdटेक्स्ट एडिटर में सुरक्षित रूप से एडिट करने की सुविधा देता है ।

Comments

उत्तर देने के लिए धन्यवाद! मुझे राहत मिली है, मैंने सोचा कि यह कुछ बदमाश पिछले दरवाजे था! जैसा आपने कहा था, मैंने / etc / passwd में rootk के लिए प्रविष्टि को हटा दिया। लेकिन वहाँ कोई rootkघर निर्देशिका नहीं थे

— लुलज़ेक

@ लुलज़ेक: यह किसी भी तरह से हमें नहीं बताता है कि क्या rootkखाता पिछले दरवाजे के रूप में बनाया गया था। इसका मतलब सिर्फ इतना है कि इसे आसानी से हटाया जा सकता है।

— जूली पेलेटियर

मुझे लगता है कि आपने समस्या को पूरी तरह से हल नहीं किया है। कृपया अपने प्रश्न पर मेरी टिप्पणी की जाँच करें।

— लुइस कोलोराडो

Userdel -r को चलाने के लिए न करें, के रूप में जाहिरा तौर पर rootk के घर निर्देशिका है/

— जेफ स्कालर

@JeffSchaller लेकिन अगर आप करते हैं, तो आपने एक तरह से समस्या का समाधान भी कर दिया है। एक दुर्भावनापूर्ण उपयोगकर्ता किसी भी फाइल को नहीं देख सकता था!

— किर्कपट 16

Answer 2

यह वास्तव में एक पिछले दरवाजे की तरह लग रहा है।

मैं सिस्टम से समझौता करना चाहता हूं और इसे कक्षा से अलग करना चाहता हूं, भले ही उपयोगकर्ता को निकालना संभव हो, आपको पता नहीं है कि मशीन पर क्या दिलचस्प आश्चर्य छोड़ दिया गया था (जैसे विभिन्न वेबसाइटों के लिए उपयोगकर्ताओं के पासवर्ड प्राप्त करने के लिए एक keylogger)।

Comments

इसे माइक्रोवेव में रखें और एक नया खरीदें।

— एरॉन मैकमिलिन

क्या है कि एक पिछले दरवाजे की तरह लग रहा है? क्या यह किसी ज्ञात प्रोफाइल, रूटकिट आदि से मेल खाता है?

— Freiheit

@Freiheit खैर, रूट अनुमतियों वाला एक अतिरिक्त उपयोगकर्ता रूटकिट / बैकडोर की परिभाषा से बहुत अधिक है। एक बार जब कोई उस उपयोगकर्ता के रूप में लॉग इन किया गया था, तो वे सिस्टम पर कुछ भी समझौता कर सकते थे। भले ही खाता किसी निर्दोष उद्देश्य के लिए बनाया गया हो (amd मुझे नहीं पता कि वह क्या होगा), किसी और ने इसे खोजा और दुर्भावनापूर्ण तरीके से इस्तेमाल कर सकता था (सोनी डीआरएम पर पढ़ें कि उदाहरण के लिए विंडोज को रूट किया है)।

— IMSoP

@kasperd: पासवर्ड अक्षम नहीं है, यह अंदर है /etc/shadow। शेल को सेट करना /bin/false(यदि इसके साथ छेड़छाड़ नहीं की गई है) इंटरैक्टिव लॉगिन को अक्षम कर सकता है, लेकिन खाते को अन्य तरीकों से उपयोग करने से नहीं रोकेगा। उदाहरण के लिए, पर्यावरण चर sudo -sको देखेंगे SHELL, न /etc/passwdकि यह निर्धारित करने के लिए कि किस शेल को चलाना है।

— बेन वोइगेट

@ कास्परड: आह, ठीक है। हो सकता है कि यह समय-समय पर एक छिपे हुए क्रॉस्टब से रूट के रूप में निष्पादित कार्यों को प्राप्त करने का एक तरीका हो सकता है (हालांकि /घर निर्देशिका के रूप में विकल्प उस के साथ असंगत लगता है)?

— बेन वोइगेट