Retirando o poder de root do bind no Slackware

Publicado por João Paulo de Oliveira Faria em 10/03/2005

[ Hits: 6.290 ]

Blog: http://www.jpfaria.com

 


Retirando o poder de root do bind no Slackware



Após algum tempo estudando sobre o assunto, depois de ter até escrito um artigo sobre BIND + CHROOT no Slackware, verifiquei que o Slackware vem com uma falha absurda, rodando como padrão o BIND (servidor DNS) como root.

Isso significa que se um invasor conseguir de alguma forma entrar pelo BIND, ele cairá na sua shell com poder de root, isso é grave.

Eu aconselho a instalar o BIND + CHROOT, que torna praticamente impossível o invasor entrar no seu sistema via BIND.

Para quem está sem tempo de instalar da forma que eu aconselho e quer tirar essa falha, lá vai a dica.

1 - Vamos verificar se o named está rodando como root. se tiver, significa que seu BIND está furado.

# ps aux | grep named

Se você ver o conteúdo abaixo, é porque você está mesmo com problemas:

root     4991  0.0  1.4  4908 2600 ?        Ss   20:40   0:00 /usr/sbin/named

2 - Vamos criar o usuário named e o grupo named.

# groupadd named
# useradd -c "Named Server" -d /dev/null -g named -s /bin/false named
# passwd -l named


3 - Agora vamos dar permissão nos diretórios run do named:

# chown named:named /var/run/named

4 - Vamos editar o /etc/rc.d/rc.bind e substituir a linha que inicia o BIND abaixo:

/usr/sbin/named

por:

/usr/sbin/named -u named

5 - Reiniciando o BIND:

# /etc/rc.d/rc.bind restart

6 - Testando:

# ps aux | grep named

Você deverá ver assim:

named     4991  0.0  1.4  4908 2600 ?        Ss   20:40   0:00 /usr/sbin/named -u named

Pronto! Isso é o mínimo de segurança que o BIND deve ter. Isso já dificulta muito os engraçadinhos!

[]s
jpfaria

Outras dicas deste autor

Tirando e-mail de retorno do Clamav-milter

Deixando o relógio sempre ajustado no Slackware

Problema em instalação com HD SCSI

Problema com fuso horário no Sendmail

Criando um usuário root sem ser o root

Leitura recomendada

BIND: Ataque pode causar Negação de Serviço através do Dynamic Update

Logout automático do root

Darkstat - Um analisador de tráfego de rede

Atualização de segurança no BitchX

Detectando sniffers

  

Comentários
[1] Comentário enviado por removido em 11/03/2005 - 08:50h

OPA!,

fala ae leke...

desta veiz naum tem engraçadinhos! HAuheAHUU

XD

--
Abs,
guinet gmail com

[2] Comentário enviado por freehand em 16/12/2005 - 21:39h

Muito bom, e recomendado esta dica...



Contribuir com comentário




Patrocínio

Site hospedado pelo provedor RedeHost.
Linux banner
Linux banner
Linux banner

Destaques

Artigos

Dicas

Tópicos

Top 10 do mês

Scripts