authbind - آنلاین در ابر

برنامه:

نام

authbind - سوکت ها را به پورت های ممتاز بدون روت متصل کنید

خلاصه

موثق [گزینه های] برنامه [استدلال ...]

شرح

موثق اجازه می دهد تا برنامه ای که به عنوان روت اجرا نمی شود یا نباید اجرا شود به کم شماره متصل شود
پورت ها به صورت کنترل شده

شما باید برنامه را با استفاده از آن فراخوانی کنید موثق. موثق محیطی را راه اندازی خواهد کرد
متغیرها، از جمله یک LD_PRELOAD، که به برنامه اجازه می دهد (از جمله هر
فرآیندهای فرعی که ممکن است اجرا شود) برای اتصال به پورت های کم شماره (<512) در صورت پیکربندی سیستم
برای اجازه دادن به این

OPTIONS

--عمیق به طور معمول، موثق ترتیب می دهد که فقط برنامه ای باشد که مستقیماً آن را فراخوانی می کند
تحت تاثیر نسخه ویژه آن از اتصال(2). اگر مشخص کنید --عمیق سپس همه
برنامه هایی که آن برنامه به طور مستقیم یا غیرمستقیم فراخوانی می کند تحت تأثیر قرار می گیرند، بنابراین
تا زمانی که متغیرهای محیطی تنظیم شده توسط آنها را از حالت تنظیم خارج نکنند موثق.

--عمق سطح
علل موثق بر برنامه هایی که هستند تاثیر بگذارد سطح در اعماق نمودار فراخوان در
پیش فرض است --عمق 1.

ACCESS کنترل

دسترسی به پورت های کم شماره توسط مجوزها و محتویات فایل ها در a کنترل می شود
منطقه پیکربندی، /etc/authbind.

در مرحله اول، /etc/authbind/byport/بندر تست شده است. اگر این فایل برای اجرا در دسترس باشد
کاربر تماس گیرنده، با توجه به دسترسی(2)، سپس اتصال به بندر مجاز است. اگر
مشاهده می شود که فایل وجود ندارد (چک وجود برمی گردد ENOENT) سپس آزمایشات بعدی انجام خواهد شد
برای یافتن مجوز استفاده شود. در غیر این صورت، الزام آور مجاز نیست، و اتصال صدا
با ارنو ارزش از دسترسی(2) معمولا تماس بگیرید EACCES (اجازه
تکذیب کرد).

ثانیاً، اگر آن آزمایش نتواند موضوع را حل کند، /etc/authbind/byaddr/افزونه,بندر (هرکدام
پروتکل) یا عدم موفقیت آن /etc/authbind/byaddr/افزونه:بندر (فقط IPv4) تست شده است، در
به همان روش بالا اینجا افزونه است به عنوان از inet_ntopو بندر TCP یا UDP (محلی) است
شماره پورت، به عنوان یک عدد صحیح بدون علامت در حداقل تعداد غیر صفر ارقام بیان می شود.

ثالثاً، فقط برای IPv6: از زمان نمایش متنی از inet_ntop پیچیده است به
پیش بینی، گونه ای از افزونه همچنین تست شده است که از دو کولون استفاده نمی کند
مخفف: هر قطعه 16 بایتی با حداقل تعداد غیرصفر از ارقام هگز بیان می شود.
(یعنی با حذف صفرهای پیشرو)، تکه‌ها با دوقطعه همانطور که هست از هم جدا می‌شوند
مرسوم.

چهارم، اگر سوال هنوز حل نشده است، فایل /etc/authbind/byuid/UID خواهد بود
باز کرد و خواند اگر فایل وجود نداشته باشد، صحافی مجاز نیست و اتصال
بر خواهد گشت EPERM (عمل نه مجاز، یا نه مالک). اگر فایل وجود داشته باشد، وجود خواهد داشت
برای یک خط از فرم جستجو شود
adrmin[-addrmax],پورتمین[-پورت مکس]
افزونه[/طول],پورتمین[-پورت مکس]
addr4/طول:پورتمین,پورت مکس
مطابق با درخواست فرم اول مستلزم آن است که آدرس در محدوده مربوطه قرار داشته باشد
(شامل در هر دو انتها). شکل دوم و سوم مستلزم آن است که اولیه طول بیت
of افزونه مطابق با موارد پیشنهادی اتصال صدا زدن. فرم سوم فقط برای IPv4 در دسترس است
از آنجایی که آدرس های IPv6 حاوی دو نقطه هستند. آدرس های موجود در فایل byuid می تواند به هر شکلی باشد
قابل قبول برای inet_pton. در همه موارد، شماره پورت پیشنهادی باید در این باشد
محدوده فراگیر مشخص شده است. اگر چنین خطی یافت شود، صحافی مجاز است.
در غیر این صورت نیست، و اتصال با شکست مواجه خواهد شد ENOENT (نه چنین پرونده or فهرست راهنما).

اگر خطای خواندن رخ دهد، یا دایرکتوری /etc/authbind قابل دسترسی نیست، پس نه تنها
اراده اتصال شکست خورد، اما یک پیام خطا در stderr چاپ خواهد شد. خطوط ناشناخته در
/etc/authbind/byuid/UID فایل‌ها بی‌صدا نادیده گرفته می‌شوند، مانند خطوطی که افزونه غیر صفر دارد
ذره ای بیشتر از طول از بالا یا جایی که برخی دقیقه بزرگتر از حداکثر.

مثال

برای مثال تلاشی توسط uid 432 برای اتصال به پورت 80 آدرس
[2620:106:e002:f00f::21] منجر به فراخوانی authbind می شود دسترسی(2) به ترتیب
/etc/authbind/byport/80
/etc/authbind/byaddr/2620:106:e002:f00f::21,80
/etc/authbind/byaddr/2620:106:e002:f00f:0:0:0:21,80
اگر هیچ یک از این فایل ها وجود نداشته باشد، athbind خوانده می شود
/etc/authbind/byuid/432
و جستجوی یک خط برای اجازه دسترسی مربوطه. نمونه هایی از خطوطی که این کار را انجام می دهند
هستند:
2620:106:e002:f00f::21,80
::/0,80

PORTS 512-1023

مجوز اتصال به پورت های 512 تا 1023 شامل توصیه نمی شود. مقداری
پروتکل‌ها (از جمله برخی از نسخه‌های NFS) با مشاهده اینکه مشتریان از آن استفاده می‌کنند، مجوز می‌دهند
یک شماره پورت در این محدوده بنابراین، با اجازه دادن به برنامه ای برای تبدیل شدن به سرور برای چنین پورتی،
شما همچنین به آن اجازه می دهید که کل میزبان را برای آن پروتکل ها جعل کند.

برای اطمینان از اینکه این کار تصادفی انجام نمی شود، اگر شماره پورت درخواستی در آن باشد
محدوده 512-1023، authbind انتظار دارد که فایل های مجوز اضافه ای داشته باشند ! در
شروع نام برگ آنها

سازوکار

کتابخانه مشترک با استفاده از بارگیری شد LD_PRELOAD را نادیده می گیرد اتصال(2) تماس سیستمی. وقتی یک
برنامه فراخوانی شده از طریق موثق تماس اتصال برای اتصال یک سوکت به یک پورت TCP/IP با شماره پایین،
و اگر برنامه قبلاً یک uid مؤثر 0 ندارد، نسخه از اتصال
فرض شده توسط موثق فورک می کند و یک برنامه کمکی setuid-root را اجرا می کند. برای غیر TCP/IP
سوکت ها، پورت های با شماره بالا، یا برنامه هایی که قبلا روت هستند، موثق تماس را پاس می کند
به اصل اتصال(2) تماس سیستمی که با استفاده از آن یافت می شود dlsym(3) با دسته
RTLD_NEXT.

ERROR دستکاری

معمولاً مکانیسم های عادی رسیدگی به خطای C اعمال می شود. اگر موثق نمی تواند برنامه را پیدا کند
از آن خواسته شده است که اجرا شود، پیامی را در stderr چاپ می کند و با کد 255 خارج می شود.

برنامه کمکی معمولاً با یک وضعیت خروج به کتابخانه مشترک گزارش می دهد
حاوی یک ارنو مقداری که رمز می کند که آیا اتصال مجاز و موفق بود.
این به روش معمول به برنامه تماس بازگردانده می شود.

در صورت پیکربندی ظاهری یا سایر خطاهای جدی، کتابخانه و/یا
برنامه کمکی ممکن است باعث شود که پیام‌ها در stderr برنامه چاپ شوند
بازگشت -1 از اتصال.

با استفاده از خدمات onworks.net از authbind آنلاین استفاده کنید