Можно ли каким-либо образом подсунуть процессу специфический для него /etc/hosts.
ЗЫ: речь идёт о проприетарщине под wine'ом...
отброшенные цели:
как можно и можно ли вообще, ограничить права на работу с сетью отдельно взятого процесса? Например полностью запретить оную кроме обращений к lo.
Или можно ли каким-либо образом подсунуть процессу специфический для него /etc/hosts.
ЗЫ: речь идёт о проприетарщине под wine'ом...
не туда копаете. запускайте процесс от специального юзера.
надоело уже... http://linuxforum.ru/viewtopic.php?id=13179
не туда копаете. запускайте процесс от специального юзера.
надоело уже... Простая установка FireFox && Adobe Flash
допустим... как ввест подобные ограничения для конкретного пользователя?
ЗЫ: не соглашусь, что это будет Ъ, ибо хотел вообще обойтись без костылей в системе...
ЗЗЫ: в данном случае задача не защитить систему от программы, а куда менее лицеприятная.
Сам не пробовал, но с помощью iptables и модулей наверное можно
$ iptables -A INPUT -m <модуль> <действия>
-m owner
--uid-owner UID - UID программы пославшей пакет.
--gid-owner GID - GID программы пославшей пакет.
--pid-owner PID - PID программы пославшей пакет.
--sid-owner SID - SID (идентификатор сессии) производится проверка SID пакета, значение SID наследуются дочерними процессами от "родителя".
--cmd-owner NAME - имя программы пославшей пакет.[update] запрет работы с сетью больше не интересует... интересует только переопределение хостов...
Сам не пробовал, но с помощью iptables и модулей наверное можно
iptables позволяет переопределять доменные имена? и можно ли как-то безопасно использовать оный от имени простого смертного?
Fat-Zer, насколько я знаю iptables только от рута. Переопределят доменные имена конечно умеет, вот на шлюзе такое
$ iptables -A INPUT -d bubum.ru -j DNAT --to-destination 74.125.79.99 Перекинет обращение на bumbu.ru -> 74.125.79.99 (google)
iptables позволяет переопределять доменные имена? и можно ли как-то безопасно использовать оный от имени простого смертного?
1. да.
2. не понял вопроса.
допустим... как ввест подобные ограничения для конкретного пользователя?
это просто. и файлы и сеть легко блокируются.
ЗЫ: не соглашусь, что это будет Ъ, ибо хотел вообще обойтись без костылей в системе...
???
вы таки и просили костыль!
ЗЗЫ: в данном случае задача не защитить систему от программы, а куда менее лицеприятная.
все свои. не стесняйтесь ;)
вопрос по безопасности: если я сделаю скрипт с suid битом, который будет для некоторого pid'а(передаваемого скрипту) эти правила менять... насколько это серьёзная дыра будет?
ЗЫ: спасибо, вроде выглядеть будет неплохо, если сработает...
это просто. и файлы и сеть легко блокируются.
файлы - понятно... а сеть как? тоже через iptables?
все свои. не стесняйтесь
запустил C&С4... пока стоит костыль из нескольких строчек в /etc/hosts, завараивающих сервера авторизации на 127.0.0.1. Хочу сделать, другой костыль, который не будет влиять на всю систему...
Создайте новую группу, дайте ей права на этот Ваш "C&C4.exe", добавьте себя в эту группу, фильтруйте при помощи iptables по GID группы.
Возможно, нужно блочить wine, а не "C&C4.exe", не уверен.
Создайте новую группу, дайте ей права на этот Ваш C&C4.exe, добавьте себя в эту группу, фильтруйте при помощи iptables по GID группы.
почти тоже самое, что предлагал доктор... только на экзешник права менять бессмысленно... нужно права на вызывающий скрипт изменить, правда будут ли дочернии процессы работать с тем же gid'ом - надо думать... pgid - дело тёмное... в общем спец. юзер u+s и g+x - надёжней...
Где доктор предлагал использовать GID и iptables, да на костыль это не претендует или Вам принципиально iptables от юзера запускать?
только на экзешник права менять бессмысленно... нужно права на вызывающий скрипт изменить
Скрипт или экзешник в сеть полезет? Для верности поменяйте права и для того и для другого.
вопрос по безопасности: если я сделаю скрипт с suid битом, который будет для некоторого pid'а(передаваемого скрипту) эти правила менять... насколько это серьёзная дыра будет?
ЗЫ: спасибо, вроде выглядеть будет неплохо, если сработает...
suid бит со скиптами не работает. Без кода я ничего не скажу.
Сам не пробовал, но с помощью iptables и модулей наверное можно...
NOTE: pid, sid and command matching are broken on SMP
это печально... у меня pid-owner'а даже в man'е нет...
Скрипт или экзешник в сеть полезет? Для верности поменяйте права и для того и для другого.
просто wine плюёт на права исполнения unix... ему достаточно прав только на чтение.
suid бит со скиптами не работает.
чешу в затылке...
Да тут порылся, давно выпилили -pid-owner, --sid-owner и --cmd-owner
Ну можно выделить под приложение отдельного юзера и использовать --uid-owner...
Вот еще что есть http://l7-filter.sourceforge.net/ - Application Layer Packet Classifier for Linux
Вот еще что есть http://l7-filter.sourceforge.net/ - Application Layer Packet Classifier for Linux
не... штука вкусная, но не в тему...
эх... похоже все решения ведут к созданию отдельного юзера...
чешу в затылке...
есть для этого sudo. вы тему-то почитайте, я её не зря ведь писал.
просто wine плюёт на права исполнения unix... ему достаточно прав только на чтение.
facepalm
да все плюют. в том числе и bash. для запуска скрипта(любой программы, которая выполняется не ядром) необходимо и достаточно:
1) права исполнения оболочки(/bin/sh, /usr/bin/wine, и т.д.).
2) права чтения скрипта.
Ну можно выделить под приложение отдельного юзера и использовать --uid-owner...
нужно. со второго поста говорю.
эх... похоже все решения ведут к созданию отдельного юзера...
это только в венде приходится отслеживать процессы, ибо там неудобно и криво организованна многопользовательность. отвыкайте от маздая!
это только в венде приходится отслеживать процессы, ибо там неудобно и криво организованна многопользовательность. отвыкайте от маздая!
хорошо было бы иметь разные возможности... в любом случае не хочется в систему лезть.
да все плюют. в том числе и bash. для запуска скрипта(любой программы, которая выполняется не ядром) необходимо и достаточно:
1) права исполнения оболочки(/bin/sh, /usr/bin/wine, и т.д.).
2) права чтения скрипта.
мда... чего-то я затупил...
в общем тему можно считать закрытой, если ни у кого нет других идей...
Можно ли каким-либо образом подсунуть процессу специфический для него /etc/hosts.
ЗЫ: речь идёт о проприетарщине под wine'ом...
отброшенные цели:
Показать
как можно и можно ли вообще, ограничить права на работу с сетью отдельно взятого процесса? Например полностью запретить оную кроме обращений к lo.
.~/.wine/windows/system32/drivers/etc/hosts
как то так.
