Protection contre les programmes présentant des risques de sécurité (liste des tâches)

La liste des tâches suivante présente les procédures permettant trouver les exécutables à risque dans le système, et qui empêchent les programmes d'exploiter une pile exécutable.

Recherche de fichiers avec des autorisations de fichier spéciales

Il est conseillé de surveiller votre système pour vérifier les autorisations setuid et setgid sur les programmes. Les autorisations setuid et setgid permettent aux utilisateurs standard d'obtenir les capacités de superutilisateur. Un fichier exécutable suspect accorde la propriété à un utilisateur plutôt qu'à root ou bin.

1. Endossez le rôle de d'administrateur principal ou connectez-vous en tant que superutilisateur.

   Le rôle d'administrateur principal inclut le profil d'administrateur principal. Pour plus d'informations sur la création d'un rôle et son assignation à un utilisateur, reportez-vous au Chapitre 2, Utilisation de la console de gestion Solaris (tâches) du Guide d’administration système : administration de base.

2. Recherchez les fichiers avec des autorisations setuid en utilisant la commande find.

   # find directory -user root -perm -4000 -exec ls -ldb {} \; >/tmp/filename

   find répertoire

   Vérifie tous les chemins montés en commençant par le répertoire spécifié, qui peut être root (/), sys, bin, ou mail.

   -user root

   Affiche les fichiers appartenant uniquement à root.

   -perm -4000

   Affiche les fichiers uniquement avec les autorisations définies sur 4000.

   -exec ls -ldb

   Affiche le résultat de la commande find au format ls -ldb.

   /tmp/filename

   Il s'agit du fichier qui contient les résultats de la commande find.

3. Affichez les résultats dans /tmp/filename.

   # more /tmp/filename

   Pour plus d'informations d'ordre général sur les autorisations setuid, reportez-vous à la section Autorisation setuid.

Exemple 6-12 Recherche de fichiers avec des autorisations setuid

La sortie de l'exemple suivant indique qu'un utilisateur d'un groupe appelé rar a effectué une copie personnelle de /usr/bin/sh et a défini les autorisations setuid sur root. Par conséquent, le programme /usr/rar/bin/sh s'exécute avec les autorisations root.

Ce résultat a été enregistré pour référence ultérieure en déplaçant le répertoire /var/tmp/chkprm dans le répertoire /export/sysreports/ckprm.

# find / -user root -perm -4000 -exec ls -ldb {} \; > /var/tmp/ckprm
# cat /var/tmp/ckprm
-r-sr-xr-x 1 root bin 38836 Aug 10 16:16 /usr/bin/at
-r-sr-xr-x 1 root bin 19812 Aug 10 16:16 /usr/bin/crontab
---s--x--x 1 root sys 46040 Aug 10 15:18 /usr/bin/ct
-r-sr-xr-x 1 root sys 12092 Aug 11 01:29 /usr/lib/mv_dir
-r-sr-sr-x 1 root bin 33208 Aug 10 15:55 /usr/lib/lpadmin
-r-sr-sr-x 1 root bin 38696 Aug 10 15:55 /usr/lib/lpsched
---s--x--- 1 root rar 45376 Aug 18 15:11 /usr/rar/bin/sh
-r-sr-xr-x 1 root bin 12524 Aug 11 01:27 /usr/bin/df
-rwsr-xr-x 1 root sys 21780 Aug 11 01:27 /usr/bin/newgrp
-r-sr-sr-x 1 root sys 23000 Aug 11 01:27 /usr/bin/passwd
-r-sr-xr-x 1 root sys 23824 Aug 11 01:27 /usr/bin/su
# mv /var/tmp/ckprm /export/sysreports/ckprm

Désactivation de l'utilisation de piles exécutables par les programmes

Pour obtenir une description des risques de sécurité liés aux piles exécutables, reportez-vous à la section Prévention des problèmes de sécurité causés par les fichiers exécutables.

1. Endossez le rôle de d'administrateur principal ou connectez-vous en tant que superutilisateur.

   Le rôle d'administrateur principal inclut le profil d'administrateur principal. Pour plus d'informations sur la création d'un rôle et son assignation à un utilisateur, reportez-vous au Chapitre 2, Utilisation de la console de gestion Solaris (tâches) du Guide d’administration système : administration de base.

2. Modifiez le fichier /etc/système et ajoutez la ligne suivante :

   set noexec_user_stack=1

3. Redémarrez le système.

   # init 6

Exemple 6-13 Désactivation de la journalisation des messages de pile exécutable

Dans cet exemple, la journalisation des messages de pile exécutable est désactivée et le système est ensuite redémarré.

# cat /etc/system
set noexec_user_stack=1
set noexec_user_stack_log=0
# init 6