Groups | Search | Server Info | Keyboard shortcuts | Login | Register [http] [https] [nntp] [nntps]

Groups > ger.ct > #245656 > unrolled thread

Pinguinfrage: Sudo mit Passwort füttern

Back to article view | Back to ger.ct

Contents

  Pinguinfrage: Sudo mit Passwort füttern "Ulrich F. Heidenreich" <from!not-for-mail@tremornet.de> - 2016-03-01 17:26 +0100
    Re: Pinguinfrage: Sudo mit Passwort füttern Günter Frenz <usenet-01@guefz.de> - 2016-03-01 18:03 +0100
      Re: Pinguinfrage: Sudo mit Passwort füttern "Ulrich F. Heidenreich" <from!not-for-mail@tremornet.de> - 2016-03-02 11:00 +0100
        Re: Pinguinfrage: Sudo mit Passwort füttern Herwig Huener AQSR 5 <Herwig.Huener@t-online.de> - 2016-03-04 12:34 +0100
          Re: Pinguinfrage: Sudo mit Passwort füttern "Ulrich F. Heidenreich" <from!not-for-mail@tremornet.de> - 2016-03-04 12:51 +0100
      Re: Pinguinfrage: Sudo mit Passwort füttern "Ulrich F. Heidenreich" <from!not-for-mail@tremornet.de> - 2016-03-04 13:00 +0100
        Re: Pinguinfrage: Sudo mit Passwort füttern Michael Baeuerle <michael.baeuerle@stz-e.de> - 2016-03-04 14:21 +0100
        Re: Pinguinfrage: Sudo mit Passwort füttern Dennis Preiser <d__p@d--p.de> - 2016-03-04 19:58 +0000
    Re: Pinguinfrage: Sudo mit Passwort füttern "Peter Heitzer" <peter.heitzer@rz.uni-regensburg.de> - 2016-03-01 17:11 +0000
      Re: Pinguinfrage: Sudo mit Passwort füttern Gerald Gruner <gerald314@yahoo.de> - 2016-03-03 00:11 +0100
    Re: Pinguinfrage: Sudo mit Passwort füttern Diedrich Ehlerding <diedrich.ehlerding@t-online.de> - 2016-03-01 18:50 +0100
      Re: Pinguinfrage: Sudo mit Passwort füttern "Ulrich F. Heidenreich" <from!not-for-mail@tremornet.de> - 2016-03-02 10:55 +0100
    Re: Pinguinfrage: Sudo mit Passwort füttern Holger Marzen <holger@marzen.de> - 2016-03-01 18:30 +0000
      Re: Pinguinfrage: Sudo mit Passwort füttern "Ulrich F. Heidenreich" <from!not-for-mail@tremornet.de> - 2016-03-02 10:53 +0100
    Re: Pinguinfrage: Sudo mit Passwort füttern Magnus Walter <magnus.walter@twinmail.de> - 2016-03-01 20:38 +0100
      Re: Pinguinfrage: Sudo mit Passwort füttern "Ulrich F. Heidenreich" <from!not-for-mail@tremornet.de> - 2016-03-02 11:41 +0100
    Re: Pinguinfrage: Sudo mit Passwort füttern Lehmann <blehmann@gmx.de> - 2016-03-01 22:12 +0100
      Re: Pinguinfrage: Sudo mit Passwort füttern Gerrit Heitsch <gerrit@laosinh.s.bawue.de> - 2016-03-01 22:57 +0100
        Re: Pinguinfrage: Sudo mit Passwort füttern Thomas Klix <wotokl@web.de> - 2016-03-01 23:16 +0000
          Re: Pinguinfrage: Sudo mit Passwort füttern Gerrit Heitsch <gerrit@laosinh.s.bawue.de> - 2016-03-02 07:35 +0100
            Re: Pinguinfrage: Sudo mit Passwort füttern Lehmann <blehmann@gmx.de> - 2016-03-03 00:39 +0100
              Re: Pinguinfrage: Sudo mit Passwort füttern Gerrit Heitsch <gerrit@laosinh.s.bawue.de> - 2016-03-03 08:33 +0100

Page 1 of 2  [1] 2  Next page →

#245656 — Pinguinfrage: Sudo mit Passwort füttern

Moinsens!

Wollte Tante Frieda sowas wie 

echo geheim|sudo tuwas

verbrechen wollen, welche Chance hätte sie da? Konkret geht es darum,
einen "Nur root darf das"-mount-Befehl in einem Script ausführen zu
lassen, ohne daß ein dazu notwendiges "sudo mount …" nach dem Passwort
des Users fragt. 

TIA,
Ulrich
-- 
In 9 Monaten und 24 Tagen ist Weihnachten. 
Q6B8E IH14X 067M2 L86NC C4CI4 K05MS LV6ZY 4YHJA XZXUV 
Stellt euch vor, es ist Dienstag und keiner geht hin!

[toc] | [next] | [standalone]

#245660

Am Tue, 01 Mar 2016 17:26:59 +0100 schrieb Ulrich F. Heidenreich:

> Moinsens!
> 
> Wollte Tante Frieda sowas wie 
> 
> echo geheim|sudo tuwas
> 
> verbrechen wollen, welche Chance hätte sie da? Konkret geht es darum,
> einen "Nur root darf das"-mount-Befehl in einem Script ausführen zu
> lassen, ohne daß ein dazu notwendiges "sudo mount …" nach dem Passwort
> des Users fragt. 

Da du ja als einziger User mit diesem Rechner arbeitest könnte man zu
folgender Lösung kommen: das Skript gehört dem User root (chown
root skriptname) und hat das SUID-Bit (chmod u+s skriptname) gesetzt,
dann brauchst du kein sudo. Sollte man aber eigentlich nur machen, wenn
man hinreichend sicher ist, dass das Skript fehlerfrei ist und nicht
durch andere missbraucht werden kann.

Man kann das Passwort auch per Eingabeumleitung aus einer Datei oder
aus dem Skript selbst lesen. Du siehst, es viele Wege nach Rom...

Günter

[toc] | [prev] | [next] | [standalone]

#245710

Günter Frenz in <news:20160301180304.107977ca@corinnis.midgard>:

>Am Tue, 01 Mar 2016 17:26:59 +0100 schrieb Ulrich F. Heidenreich:
>
>> Konkret geht es darum,
>> einen "Nur root darf das"-mount-Befehl in einem Script ausführen zu
>> lassen, ohne daß ein dazu notwendiges "sudo mount …" nach dem Passwort
>> des Users fragt. 
>
>Da du ja als einziger User mit diesem Rechner arbeitest könnte man zu
>folgender Lösung kommen: das Skript gehört dem User root (chown
>root skriptname) und hat das SUID-Bit (chmod u+s skriptname) gesetzt,
>dann brauchst du kein sudo. 

Und dann kann Tante Frieda es einfach anklicken und es läuft? 

>Man kann das Passwort auch per Eingabeumleitung aus einer Datei oder
>aus dem Skript selbst lesen. 

Zumindest das Piping scheiterte daran, daß der Pinguin "Geht nur auf
einer Konsole" oder so maulte.

>Du siehst, es führen viele Wege nach Rom...

Der Umweg über fstab scheint mir inzwischen am besten zu gefallen.

Danke euch allen,
Ulrich
-- 
In 9 Monaten und 23 Tagen ist Weihnachten. 
J9XZ3 2W8XZ 1L1HM I4MAJ FIHYC 1ZW8K P6ZU9 Y3TZ4 RAO3B 
Stellt euch vor, es ist Mittwoch und keiner geht hin!

[toc] | [prev] | [next] | [standalone]

#245807

2016-03-04 12:35:00 +0100

Ulrich F. Heidenreich wrote:

> ...

>>Du siehst, es führen viele Wege nach Rom...
> 
> Der Umweg über fstab scheint mir inzwischen am besten zu gefallen.

Der richtige Weg nach Rom ist die Sprache Expect. Gewissermassen
die automatisierte WerkStudentin am Terminal - Expect kann alles,
was jemand am Terminal machen kann. Egal, welches OS auf dem
ZielSystem läuft.

Herwig

[toc] | [prev] | [next] | [standalone]

#245809

Herwig Huener AQSR 5 in <news:nbbrsj$jbq$1@news.albasani.net>:

>2016-03-04 12:35:00 +0100 Ulrich F. Heidenreich wrote:
[..]
>>>Du siehst, es führen viele Wege nach Rom...
>> 
>> Der Umweg über fstab scheint mir inzwischen am besten zu gefallen.

Hätte aber nichts genutzt, weil nicht nur "mount", sondern auch dd und
blocksize wohl Rootrechte haben wollen. 

>Der richtige Weg nach Rom ist die Sprache Expect. 

Über die bin ich auch gestolpert, aber nur Bahnhof und Kofferklauen
verstanden.

CU!
Ulrich
-- 
In 9 Monaten und 21 Tagen ist Weihnachten. 
KPIHX DPRCY XP1PM 0TNUB TH923 5HJM4 5ASEQ JJ7UX 0RN16 
Stellt euch vor, es ist Freitag und keiner geht hin!

[toc] | [prev] | [next] | [standalone]

#245810

Günter Frenz in <news:20160301180304.107977ca@corinnis.midgard>:

>Da du ja als einziger User mit diesem Rechner arbeitest könnte man zu
>folgender Lösung kommen: das Skript gehört dem User root (chown
>root skriptname) und hat das SUID-Bit (chmod u+s skriptname) gesetzt,
>dann brauchst du kein sudo. 

Ich vermeine leider inzwischen ergoogelt zu haben, daß dieses Vorgehen
bei Scripts aus Sicherheitsgründen nicht möglich ist. Und es ist wohl in
der Tat so:

|/dev/sdb: Keine Berechtigung
|dd: öffne "/dev/sdb": Keine Berechtigung
|pv: Die Option »--size« erfordert ein Argument

CU!
Ulrich
-- 
In 9 Monaten und 21 Tagen ist Weihnachten. 
HR0EI A9IYN X3MF7 OJBQ5 Z6J3Z 402E1 BZ87F SKC29 NTVWR 
Stellt euch vor, es ist Freitag und keiner geht hin!

[toc] | [prev] | [next] | [standalone]

#245811

Ulrich F. Heidenreich wrote:
> Günter Frenz in <news:20160301180304.107977ca@corinnis.midgard>:
> > 
> > Da du ja als einziger User mit diesem Rechner arbeitest könnte man zu
> > folgender Lösung kommen: das Skript gehört dem User root (chown
> > root skriptname) und hat das SUID-Bit (chmod u+s skriptname) gesetzt,
> > dann brauchst du kein sudo. 
> 
> Ich vermeine leider inzwischen ergoogelt zu haben, daß dieses Vorgehen
> bei Scripts aus Sicherheitsgründen nicht möglich ist. [...]

Ja, das ist so.

[toc] | [prev] | [next] | [standalone]

#245856

Ulrich F. Heidenreich <from!not-for-mail@tremornet.de> wrote:
> Günter Frenz in <news:20160301180304.107977ca@corinnis.midgard>:
> 
>>Da du ja als einziger User mit diesem Rechner arbeitest könnte man zu
>>folgender Lösung kommen: das Skript gehört dem User root (chown
>>root skriptname) und hat das SUID-Bit (chmod u+s skriptname) gesetzt,
>>dann brauchst du kein sudo. 
> 
> Ich vermeine leider inzwischen ergoogelt zu haben, daß dieses Vorgehen
> bei Scripts aus Sicherheitsgründen nicht möglich ist.

Du googelst halt immer nach den Problemen und nie nach einer Lösung.

Dennis

[toc] | [prev] | [next] | [standalone]

#245665

Ulrich F. Heidenreich <from!not-for-mail@tremornet.de> wrote:
>Moinsens!

>Wollte Tante Frieda sowas wie 

>echo geheim|sudo tuwas

>verbrechen wollen, welche Chance hätte sie da? Konkret geht es darum,
>einen "Nur root darf das"-mount-Befehl in einem Script ausführen zu
>lassen, ohne daß ein dazu notwendiges "sudo mount …" nach dem Passwort
>des Users fragt. 
Du kannst mittels visudo in /etc/sudoers einstellen, ob ein Befehl ohne
Passworteingabe ausgeführt werden kann.

z.B:
uli ALL = NOPASSWD: /bin/mount

[toc] | [prev] | [next] | [standalone]

#245735

Peter Heitzer schrieb am 1.03.16:

> Du kannst mittels visudo in /etc/sudoers einstellen, ob ein Befehl ohne
> Passworteingabe ausgeführt werden kann.
> 
> z.B:
> uli ALL = NOPASSWD: /bin/mount

Danke, kannte ich noch nicht (und wäre auch nie auf die Idee gekommen,
danach zu suchen).
Es hat bei mir ein ähnliches Problem wie Ulis gelöst.

MfG
  Gerald

-- 
No trees were killed in the sending of this message. However 
a large number of electrons were terribly inconvenienced.	

[toc] | [prev] | [next] | [standalone]

#245670

Ulrich F. Heidenreich meinte:

> Konkret geht es darum,
> einen "Nur root darf das"-mount-Befehl in einem Script ausführen zu
> lassen, ohne daß ein dazu notwendiges "sudo mount …" nach dem Passwort
> des Users fragt.

Du kannst sudo so konfigurieren, dass ein nonroot-User bestimmte, 
eigentlich für root reservierte Befehle ohne Kennwort  ausführen darf. 
Insbesondere kannst du das auch auf bestimmte Befehle einschränken.

man sudoers hilft dir weiter; suche nach NOPASSWD

Dass man sich damit beliebige Sicherheitslücken in sein Syswtem schießen 
kann, sollte klar sein; überlege also gut, was du wem erlauben willst und 
warum. 

Diesdrich
-- 
 pgp-Key (RSA) 1024/09B8C0BD 
 fingerprint = 2C 49 FF B2 C4 66 2D 93  6F A1 FF 10 16 59 96 F3 
 HTML-Mail wird ungeleſen entſorgt.

[toc] | [prev] | [next] | [standalone]

#245709

Diedrich Ehlerding in <news:9c1hqcxvni.ln2@diedrich.ehlerding.dialin.t-online.de>:

>Ulrich F. Heidenreich meinte:
>
>> Konkret geht es darum,
>> einen "Nur root darf das"-mount-Befehl in einem Script ausführen zu
>> lassen, ohne daß ein dazu notwendiges "sudo mount …" nach dem Passwort
>> des Users fragt.
>
>Du kannst sudo so konfigurieren, dass ein nonroot-User bestimmte, 
>eigentlich für root reservierte Befehle ohne Kennwort  ausführen darf. 
>Insbesondere kannst du das auch auf bestimmte Befehle einschränken.
>
>man sudoers hilft dir weiter; 

Das war mir a) zu kryptisch und b) waren in einigen Linux-Wikis
Warnungen zu lesen, daß man sich beim kleinsten Fipttehler darin
komplett aussperren könne.

CU!
Ulrich
-- 
In 9 Monaten und 23 Tagen ist Weihnachten. 
J9XZ3 2W8XZ 1L1HM I4MAJ FIHYC 1ZW8K P6ZU9 Y3TZ4 RAO3B 
Stellt euch vor, es ist Mittwoch und keiner geht hin!

[toc] | [prev] | [next] | [standalone]

#245673

* On Tue, 01 Mar 2016 17:26:59 +0100, Ulrich F. Heidenreich wrote:

> Moinsens!
>
> Wollte Tante Frieda sowas wie 
>
> echo geheim|sudo tuwas
>
> verbrechen wollen, welche Chance hätte sie da? Konkret geht es darum,
> einen "Nur root darf das"-mount-Befehl in einem Script ausführen zu
> lassen, ohne daß ein dazu notwendiges "sudo mount …" nach dem Passwort
> des Users fragt. 

Das geht auch ohne sudo. Wenn der Mount immer der selbe ist, kannst Du
ihn in die /etc/fstab mit den Optionen noauto,user eintragen. Dann
reicht ein "mount <mountpoint>" als einfacher User.

[toc] | [prev] | [next] | [standalone]

#245711

Holger Marzen in <news:nb4n44$uf2$1@news.marzen.de>:

>* On Tue, 01 Mar 2016 17:26:59 +0100, Ulrich F. Heidenreich wrote:

>> Konkret geht es darum,
>> einen "Nur root darf das"-mount-Befehl in einem Script ausführen zu
>> lassen, ohne daß ein dazu notwendiges "sudo mount …" nach dem Passwort
>> des Users fragt. 
>
>Das geht auch ohne sudo. Wenn der Mount immer der selbe ist, kannst Du
>ihn in die /etc/fstab mit den Optionen noauto,user eintragen. Dann
>reicht ein "mount <mountpoint>" als einfacher User.

Das hatte ich inzwischen verdrängt, weil ich neulich keinen Sinn darin
sah, etwas in der fstab einzutragen, was sowieso hinterher händisch
gemounted werden muss. Ist mir heute morgen auch wieder eingefallen.
Schaumama. Dürfte mir besser gefallen, als ein Klartext-Passwort im
Script.

CU!
Ulrich
-- 
In 9 Monaten und 23 Tagen ist Weihnachten. 
J9XZ3 2W8XZ 1L1HM I4MAJ FIHYC 1ZW8K P6ZU9 Y3TZ4 RAO3B 
Stellt euch vor, es ist Mittwoch und keiner geht hin!

[toc] | [prev] | [next] | [standalone]

#245681

Ulrich F. Heidenreich schrieb:
> Moinsens!
> 
> Wollte Tante Frieda sowas wie 
> 
> echo geheim|sudo tuwas
> 
> verbrechen wollen, welche Chance hätte sie da? Konkret geht es darum,
> einen "Nur root darf das"-mount-Befehl in einem Script ausführen zu
> lassen, ohne daß ein dazu notwendiges "sudo mount …" nach dem Passwort
> des Users fragt. 
> 
> TIA,
> Ulrich
> 

Ist zwar böse aber hier (Mint 17.3) tut das:
echo -e 'Passwort\n' | sudo -S -- tuwas

Magnus

[toc] | [prev] | [next] | [standalone]

#245717

Magnus Walter in <news:djm9dqFe1ibU1@mid.individual.net>:

Ich bin's nochmal.

>Ist zwar böse aber hier (Mint 17.3) tut das:
>echo -e 'Passwort\n' | sudo -S -- tuwas
                              ^
Wenn man weiß, wonach man suchen muss, ist alles relativ einfach. 
Hier: Man muss wohl wissen, daß sudo normalerweise nicht von StdIn
liest, sondern man das explizit 'befehlen' muss. man sudo:

|-S' The -S (stdin) option causes sudo to read the password 
|from the standard input instead of the terminal device. 

Jetzt klappt's auch mit echo geheim|sudo -S tuwas.

Danke nochmal,
Ulrich 
-- 
In 9 Monaten und 23 Tagen ist Weihnachten. 
35RWZ IZ9ZY 8JKTY F2G4M ATWU7 S656Z ROICJ 2UKLV W6777 
Stellt euch vor, es ist Mittwoch und keiner geht hin!

[toc] | [prev] | [next] | [standalone]

#245684

Am 01.03.2016 um 17:26 schrieb Ulrich F. Heidenreich:
> Moinsens!
>
> Wollte Tante Frieda sowas wie
>
> echo geheim|sudo tuwas
>
> verbrechen wollen, welche Chance hätte sie da? Konkret geht es darum,
> einen "Nur root darf das"-mount-Befehl in einem Script ausführen zu
> lassen, ohne daß ein dazu notwendiges "sudo mount …" nach dem Passwort
> des Users fragt.
>
> TIA,
> Ulrich
>
Der Trick ist ja, dass das Passwort nicht von STDIN gelesen wird,
sondern, jedenfalls zu der Zeit als ich sowas noch in C programmiert 
habe, über getch() aus der conio Bibliothek direkt vom Terminal.
Das sorgt auch dafür, dass die eingetippten Zeichen gar nicht erst zum 
Terminal gespiegelt werden.

Bernd

[toc] | [prev] | [next] | [standalone]

#245687

On 03/01/2016 10:12 PM, Lehmann wrote:
>>
> Der Trick ist ja, dass das Passwort nicht von STDIN gelesen wird,
> sondern, jedenfalls zu der Zeit als ich sowas noch in C programmiert
> habe, über getch() aus der conio Bibliothek direkt vom Terminal.
> Das sorgt auch dafür, dass die eingetippten Zeichen gar nicht erst zum
> Terminal gespiegelt werden.

Das scheint aber für 'passwd' nicht zu gelten, zumindest nicht für alle 
Versionen davon. Folgendes funktioniert in einer IP-Cam um das Password 
zu ändern nachdem das System ins RAM kopiert wurde:

echo -e "password\npassword" | passwd

Ok, das ist ein Minimalsystem mit Busybox usw...

  Gerrit

[toc] | [prev] | [next] | [standalone]

#245690

Gerrit Heitsch wrote at Tue, 1 Mar 2016 22:57:23 +0100:
> On 03/01/2016 10:12 PM, Lehmann wrote:
>>>
>> Der Trick ist ja, dass das Passwort nicht von STDIN gelesen wird,
>> sondern, jedenfalls zu der Zeit als ich sowas noch in C programmiert
>> habe, über getch() aus der conio Bibliothek direkt vom Terminal.
>> Das sorgt auch dafür, dass die eingetippten Zeichen gar nicht erst zum
>> Terminal gespiegelt werden.
>
> Das scheint aber für 'passwd' nicht zu gelten, zumindest nicht für alle 
> Versionen davon. Folgendes funktioniert in einer IP-Cam um das Password 
> zu ändern nachdem das System ins RAM kopiert wurde:
>
> echo -e "password\npassword" | passwd

Ich konnte es nicht glauben, stimmt aber - auch mit normalem passwd unter
Ubuntu. Fehlt aber was, wenn schon ein Passwort gesetzt ist:

echo -e "altespasswort\npassword\npassword" | passwd

Evtl. hat das einen Grund bei passwd, den ich gerade nicht erkenne?
Normalerweise läuft das eben wirklich nicht über stdin...

Für die ursprüngliche Frage (mount) ist aber (sauber!) entweder sudo/sudoers
oder user-mount in fstab zu empfehlen.

Thomas

[toc] | [prev] | [next] | [standalone]

#245692

On 03/02/2016 12:16 AM, Thomas Klix wrote:
> Gerrit Heitsch wrote at Tue, 1 Mar 2016 22:57:23 +0100:
>> On 03/01/2016 10:12 PM, Lehmann wrote:
>>>>
>>> Der Trick ist ja, dass das Passwort nicht von STDIN gelesen wird,
>>> sondern, jedenfalls zu der Zeit als ich sowas noch in C programmiert
>>> habe, über getch() aus der conio Bibliothek direkt vom Terminal.
>>> Das sorgt auch dafür, dass die eingetippten Zeichen gar nicht erst zum
>>> Terminal gespiegelt werden.
>>
>> Das scheint aber für 'passwd' nicht zu gelten, zumindest nicht für alle
>> Versionen davon. Folgendes funktioniert in einer IP-Cam um das Password
>> zu ändern nachdem das System ins RAM kopiert wurde:
>>
>> echo -e "password\npassword" | passwd
>
> Ich konnte es nicht glauben, stimmt aber - auch mit normalem passwd unter
> Ubuntu. Fehlt aber was, wenn schon ein Passwort gesetzt ist:
>
> echo -e "altespasswort\npassword\npassword" | passwd

Ja, das braucht man so als normaler User. Obiges ist die Syntax für 
root, der wird nicht gefragt. Wer root ist hat sowieso schon gewonnen.

>
> Evtl. hat das einen Grund bei passwd, den ich gerade nicht erkenne?

Damit dir nicht jeder, der deinen Account offen vorfindet das Password 
ändern kann. Stammt aus der Zeit an der man über Terminals und 
X-Terminals gearbeitet hat. Da hat nicht jeder immer daran gedacht vor 
dem Toilettenbesuch den Screenlock einzuschalten.

  Gerrit

[toc] | [prev] | [next] | [standalone]

Page 1 of 2  [1] 2  Next page →

Back to top | Article view | ger.ct

csiph-web