Nicht nachmachen: chown -R www-data /*

$ chown -R www-data /*

Dieser nette Befehl sorgt dafür, dass unter Linux (und allen anderen Unix-artigen Systemen) alle Ordner nebst Dateien auf dem Rechner einen neuen Besitzer bekommen, in dem Fall www-data.

Wenn ihr Glück habt, bricht diese Aktion vorzeitig ab:

chown: Ändern des Eigentümers von »/proc/1/task/1«: Operation not permitted
chown: Ändern des Eigentümers von »/proc/1«: Operation not permitted
chown: Ändern des Eigentümers von »/proc/16044/task/16044«: Operation not permitted

Aber dann ists auch schon zu spät, weil /proc recht weit hinten kommt.

Weniger schöner Nebeneffekt ist der folgende:

user@server:~$ su
Passwort:
su: Fehler bei Authentifizierung
user@server:~$

Kein root-Login mehr. Tja, shit happens.

Bevor Fragen aufkommen:

  • Nein, ich wars nicht
  • Nein, es war auch nicht mein Server
  • Aber ja, ich bin einer derjenigen, der es wieder hinbiegen muss.
  • Das was der gute Mensch hätte ausführen wollen, hätte so ausgesehen:
    chown -R www-data ./

    Also fast so ähnlich.

*sigh* – manche Leute können gerne Server bezahlen, aber root-Zugang sollten sie dann trotzdem nicht bekommen.

ACHTUNG!!!!111 Fürchterlich, spektakuläre, grausame, gewaltige Sicherheitslücke in Vista*

Wie die PC-Welt heute berichtet, gibt es im Betriebssystem Windows Vista eine unfassbar kritische Sicherheitslücke, die nicht geschlossen wurde bisher und den Vollzugriff des PCs ermöglicht, wenn(!) der Angreifer physikalischen Zugriff auf den Rechner UND eine Live-CD hat.

Erstmal zu den Fakten. Windows Vista hat ein Benutzersystem, bei dem man sich auf Wunsch anmelden muss, bevor man das System nutzen kann. Das ist per se nichts Neues, denn auch Windows XP – oder überhaupt alle NT-basierten Windows-Versionen hatten eine solche Funktionalität. Nun ist es aber im Vista so, dass es einen netten Knopf gibt, der eine „Erleichterte Bedienung“ aufruft. Das ist auch noch nicht soo schlimm. Schlimm wirds nur, wenn jemand auf die Idee kommt, diese Datei, in Abwesenheit von Windows, umzubennen und sie beispielsweise mit der cmd.exe ersetzt. Dann hat man nämlich – oh Schreck – Systemrechte.

Liebe PC-Welt,
und wo genau ist da jetzt eurer Meinung nach der Skandal? Da könnt ihr JEDES Betriebssystem hernehmen!
Schaut z.B. mal hier. Das ist eine Boot-CD oder -Diskette, mit der jedes Windows NT-Passwort geändert werden kann. Oder der ERD-Commander. Damit kann sogar ein neuer Benutzer – z.B. mit Admin-Rechten – erstellt werden. Windows ist also unsicher? Okay, nächster Kandidat. Linux! Man nehme sich irgendeine Linux-CD – die von Arch Linux ist beispielsweise relativ klein und geeignet. Dann befolge man bis zum chroot-Befehl diese Anleitung und schon ist man – ohne ein root-Passwort eingegeben zu haben (!) als root angemeldet – auf dem System auf der Festplatte. Hier kann das Passwort nun geändert werden oder ein neuer Benutzer erstellt werden.
WENN ein potenzieller Angreifer also physikalischen Zugriff auf den PC hat UND dann noch die Möglichkeit besteht, dass der Rechner von einem beliebigen anderen Datenträger außer der Festplatte starten kann, dann wird ein interessierter Angreifer, selbst wenn diese „Lücke“ behoben ist, noch deutlich mehr Wege ins System finden.
Und ja, mit den hier beschriebenen Wegen kann man sich nach einem Reboot von der lokalen Festplatte als Benutzer anmelden und hat dann auch wieder alle Zeit der Welt, sich die Festplatte anzusehen. Lokal, mit dem eigenen Betriebssystem.
Der Lösungsansatz, TrueCrypt zu verwenden, mag ja das Problem lösen – aber mal ernsthaft. Ist genau das nicht ein wenig Paranoia? Für Privatanwender sind die Passwörter in der Regel dazu da, dass andere – meistens Mitbewohner – entweder ihren eigenen Account nutzen oder gar nicht arbeiten können. Das funktioniert auch wunderbar und auch ohne TrueCrypt. Bei richtig wichtigen Daten in Firmen, liegen selbige auf einem Server – und hier ist es Aufgabe des Admins diese Daten sicher zu halten.

Vielen Dank für eure Aufmerksamkeit.
Und das nächste Mal, bleibt bitte etwas auf dem Teppich. Oder wenigstens sachlich – je nach dem, was weniger schmerzhaft ist.

*: oder jedem (ich meine jedem!) anderen Betriebssystem.

Noch 407 Pakete

aka 4 Stunden, dann ist Debian auf Achmed installiert.

(Wenn WordPress ginge, würde ich euch sogar ein Bild davon zeigen)

Nunja, hoffentlich läuft da WLAN drauf. Unter openSUSE war WLAN jedenfalls nicht zum Funktionieren zu bewegen, unter Kubuntu (Live-CD) ging es – also läuft es vielleicht auch unter Debian, denn *ubuntu basiert ja auf Debian.

Da ich mir aber nur die Net-Install-CD heruntergeladen habe, dauert das jetzt ein klein wenig…