книги хакеры / журнал хакер / 124_Optimized

>> SYN/ACK

ЕВГЕНИЙ «J1M» ЗОБНИН

/ ZOBNIN@GMAIL.COM /

Узник тайнойтюрьмы

ИспользуемFreeBSD Jail дляизолированиянебезопасныхсервисов

FreeBSD хорошавкачествесервернойОС— поломатьеенепросто дажевбазовойконфигурации. НоневсякоеПОможетпохвастаться такойженадежностьюиоперативностьюисправленияошибок. Поэтомунаважныхсерверахпринятоиспользоватьjail, которыйзапирает небезопасноестороннееПОназамок, непозволяявзломщикунавредитьоперационнойсистеме.

SYN/ACK

info

•Чтобынаучитьipfw делатьfwd, придется пересобратьядро сопцией

IPFIREWALL_ FORWARD.

•Вследующемномеремырассмотрим, какнаосновеjail поднятьсервиспосдаче варендувиртуальных

FreeBSD-машин.

Непропусти!

Переменные, влияющие на jail-окружения

случаев сделать это можно через редактирование конфигурационного файла или путем указания специальных флагов:

#echo "inetd_flags=\"-wW -a <IP-адрес корневой машины>\"">> /etc/rc.conf

Êнесчастью, некоторые сервисы (rpcbind, nfsd, mountd) не позволяют указать прослушиваемый ими IP-адрес, поэтому постарайся не запускать их в базовой системе и jail-окруже- нии одновременно. С локальным IP-адресом этого делать не придется, так как jail-сервисы извне доступны не будут. Зато придетсяпозаботитьсяоборганизациифорвардингаспомощью брандмауэра (пример для ssh):

#ipfw add fwd 192.168.0.1,22 tcp from any to внешний-ip 22

ШАГ3. НАСТРОЙКАJAIL-ОКРУЖЕНИЯ

Работающее jail-окружение представляет собой почти точ- ную копию настоящей FreeBSD и даже загружается через запуск стартового скрипта /etc/rc. В то же время внутри jail действуют свои ограничения и особые правила, которые необходимо учитывать. Поэтому входим в тюрьму:

# jail /usr/jail/base base.jail 192.168.0.1 / bin/sh

И выполняем последовательность действий:

1.Создаем пустой файл fstab (touch /etc/fstab), чтобы скрипты инициализации не ругались на его отсутствие.

2.Устанавливаем пароль для суперпользователя (passwd root) и создаем, по необходимсти, дополнительных пользователей.

3.Перестраиваем базу почтовых псевдонимов (newaliases), если хотим использовать sendmail.

4.Настраиваем временную зону (tzsetup).

5.Редактируем /etc/resolv.conf таким образом, чтобы сервисы, запущенные внутри jail’а, могли выполнять DNS-ре- золвинг.Можноуказатьадресхост-системы,есливнейзапу- щен кэширующий DNS-сервер.

6.Добавляем в /etc/rc.conf следующие строки:

# vi /etc/rc.conf

//Сетевое имя jail-окружения hostname="base.jail"

//Отключаем конфигурирование сетевых интерфейсов (они виртуальные)

network_interfaces=""

//Включаем/отключаем необходимые сервисы

sendmail_enable="NO" sendmail_submit_enable="NO" sendmail_outbound_enable="NO" sendmail_msp_queue_enable="NO" sshd_enable="YES"

После того, как все будет сделано, выходим из окружения, набрав exit или нажав <Ctrl+D>.

В случае использования локального IP-адреса для тюрьмы, его сетевое имя может быть любым. Но если jail привязан к внешнему IP, потребуется, конечно же, выбрать настоящее доменное имя, прописанное в DNS-зонах.

Пример иллюстрирует запуск ssh-сервера внутри jail-окру- жения, но что, если нужного сервиса нет в базовом дистрибутиве? Проще всего — указать путь установки через переменную PREFIX во время установки порта:

# make PREFIX=/usr/jail/base make install clean

Для пакетов:

# pkg_add -P /usr/jail/base пакет-1.0.0.tbz

Для пользователей portinstall:

#PREFIX=/usr/jail/base portinstall -P пакет

Êсожалению, в некоторых случаях прямое указание пути установки не подходит. Например, ты можешь поднять мно- жествоjail-серверовнабыстроймашинеипредлагатьлюдям услуги по предоставлению в аренду выделенного сервера FreeBSD,скоторымонисмогутделатьвсе,чтозахотят.Иесли ты не позволишь клиентам самостоятельно устанавливать стороннее ПО через порты, их поток вскоре иссякнет. Простой способ избежать этого — скопировать порты из базовой системы в каждое из jail-окружений. Но это очень грубый подход, расходующий дисковое пространство и отнимающий время на синхронизацию с новым деревом портов. Гораздо проще и разумнее применить виртуальные файловые системы вроде unionfs и nullfs для монтирования каталога / usr/ports ко всем тюрьмам:

#mount_unionfs /usr/ports /usr/jail/base/usr/ports

èëè

# mount_nullfs /usr/ports /usr/jail/base/usr/ports

ШАГ4. ЗАПУСКJAIL-ОКРУЖЕНИЯ

Все подготовительные работы выполнены, осталось только

ХАКЕРSYN/ACK.PRO

Откроем конфигурационный файл nginx и приведем секцию server к следующему виду:

# vi /usr/jail/nginx/etc/nginx/nginx.conf

server { listen 80;

server_name www.host.ru; location / {

proxy_pass http://127.0.0.1:8080/; proxy_redirect off;

proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr;

proxy_set_header X-Forwarded-For $proxy_add_x_ forwarded_for;

client_max_body_size 10m; client_body_buffer_size 128k;

proxy_connect_timeout 90; proxy_send_timeout 90; proxy_read_timeout 90;

proxy_buffer_size 4k; proxy_buffers 4 32k; proxy_busy_buffers_size 64k; proxy_temp_file_write_size 64k;

}

}

Учти, что хитрая система портов изменила дефолтовые пути поиска файлов в nginx,добавивкнимпрефикс/usr/jail/nginx.Поэтомувсеотносительныепути в файле конфигурации придется заменить на абсолютные, то есть — прописатьвместо«includemime.types;»строку«include/etc/nginx/mime.types;».Все, теперьвиртуальныйсерверсnginxможнозапустить(опция‘-c’позволяетпере- писатьневерныйдефолтовыйпутьпоискаконфигурационногофайла):

# jail /usr/jail/nginx nginx.jail 192.168.0.1 /sbin/nginx -c /etc/nginx/nginx.conf

ifconfig_ed0_alias0="inet 192.168.0.1" jail_enable="YES"

jail_list="nginx" jail_nginx_rootdir="/usr/jail/nginx" jail_nginx_hostname="nginx.jail" jail_nginx_ip="192.168.0.1"

//Полная инициализация окружения не нужна, достаточно сразу запустить сервис jail_nginx_exec_start="/sbin/nginx -c /etc/nginx/nginx. conf"

//Останавливать nginx вручную также не требуется, перед завершением работы jail аккуратно убьет все свои процессы с помощью kill

jail_nginx_exec_stop=""

//Нам понадобится только devfs

jail_nginx_devfs_enable="YES" jail_nginx_fdescfs_enable="NO" jail_nginx_procfs_enable="NO"

По описанной схеме в тюрьму можно посадить практически любой сервис, не отягощенный множеством зависимостей. В некоторых случаях придется повозиться с созданием файлов и каталогов, а также с отслеживаниемнеобходимыхбиблиотек(некоторыесетевыесерверы,например sshd,загружаютбиблиотекивовремяисполнения,такчтоlddпокажетне все,ипридетсявоспользоватьсяlsof).Проблемутакжепредставляет/dev. Весьмаопрометчивооткрыватьвсефайлыэтогокаталоганачтение,ауж тем более, на запись, — поэтому для регулирования прав доступа необходимо использовать специальные настройки devfs. Файл /etc/defaults/ devfs.rules содержит базовые правила devfs для jail. По умолчанию он открывает доступ к подсобным синтетическим файлам, таким как /dev/ nullи/dev/random,атакжепсевдотерминалам.Длябольшинстваконфигураций настройки даже не придется редактировать, достаточно скопировать файл в каталог /etc и добавить в /etc/rc.conf следующую запись:

jail_èìÿ_devfs_ruleset="devfsrules_jail"

Если же понадобятся дополнительные файлы устройств, то devfs.rules легкоотредактировать,добавивнеобходимыеправила.Синтаксисфайла и правил описаны на man-страницах devfs(8) и devfs.rules(5). z