Thorsten Gunkel schriebte:
>> Ich habe das bei mir so realisiert, dass das "sudo poweroff" im .bshrc
>> des
> ^^^^^^
> Was ist das f�r eine Datei?
Sorry, ich meinte "/home/poweroff/.bash_profile" Das ist ein Skript, das
als erste Aktion einer login-shell aufgerufen wird. (.bashrc macht das
gleiche f�r non-login-shells)
>> poweroff-User eingetragen ist. Dieses Script wird automatisch direkt
>> nach dem login ausgef�hrt. ---> Rechner runterfahren durch einloggen
>> :-) Keine Chnce noch irgend ein anderes Programm auszuf�hren.
>
> Er hat nicht nur eine, sondern zahlreiche Chancen. - Das anlaufenden
> sudo t�ten/anhalten
Wie das?
Der poweroff-Befehl dreht ja nicht D�umchen im Hintergrund, sondern
f�hrt "sudo shutdown -h now" aus. Wenn man versuchen will, das zu t�ten,
m�sste man sehr schnell sein. Mir geht es aber wie beschrieben darum,
einer Person, die vor Ort vor dem Rechner steht, den Rechner runter fahren
zu lassen. Da hat diese Person ohnehin die M�glichketeit b�swillig den
Rechner zu �bernehmen (Am bequemsten mit einer Knoppix-CD...). �ber
Netzwerk ist der Login f�r den poweroff-User nat�rlich nicht erlaubt.
Aber ok, wenn es auch �bers Netz gehen soll, dann sollte man den Aufruf
weiter nach vorne legen. Zum Beispiel direkt in passwd:
------/etc/passwd-------
[...]
aus:x:123:123:aus:/nonexistant:/usr/local/sbin/aus.sh
------------------------
-----/usr/local/sbin/aus.sh------
#!/bin/sh
sudo poweroff
-------------------------------
-----/etc/sudoers-----------
[...]
aus ALL=NOPASSWD: /sbin/poweroff
-----------------------------
Damit wird direkt nach dem Login das Script aus.sh ausgef�hrt. Dort steht
zwar auch eine shell, aber die ist nicht interaktiv, horcht also nicht auf
stdin. Insbesondere bekommt der aus-User nach dem Login gar keine
interaktive Shell. Er kann also nicht noch schnell ein paar Befehle
nachschieben, bevor der Rechner sich abschaltet. Der Eintrag in
/etc/sudoers sorgt daf�r, dass das runterfahren erlaubt ist, obwohl der
user "aus" nicht "root" ist.
> - Warten bis Deine .bshrc abgearbeitet wurde
Die wird mitten in der Arbeit unterbrochen, indem sich das System in den
runlevel 6 verabschiedet und gnadenlos alle Prozesse killt. Beim abwarten
kannst Du also nur zuschauen, wie der Rechner runterf�hrt. Das ist ja
gerade der Sinn der Aktion.
> - Direkt versuchen die Datei zu �berschreiben (ftp/smb/scp/...) - ...
Dagegen hilft es, der Datei der Schreibrechte zu entziehen (auch dem
User). Au�erdem m�ssten diese Services aktiv sein, was sie in meinem
Fall nicht sind. Und wenn sie aktiv sind, m�ssen sie im kritischen
Bereich schreiben d�rfen, was in den sbin-Ordnern sowieso eine schlechte
Idee w�re.
Insgesamt hast Du nat�rlich Recht, dass mein Vorschlag b�swillig
ausgehebelt werden k�nnte -- war eben ein schneller Hack f�r den
Nachtw�rter. Mit dem Eintrag in /etc/passwd und ohne interaktive Shell
sollte es ein St�ck sicherer sein. Einverstanden?
---<(kaimartin)>---
>> privat: familieknaak.de
> OT: Die Umlaute dort sind kaputt. http://validator.w3.org hilft ...
Ok. Ich werds mir mal anschauen.
--
Kai-Martin Knaak
gpg-key: http://pgp.mit.edu:11371/pks/lookup?search=kai-martin&op=index&exact=on
--
Haeufig gestellte Fragen und Antworten (FAQ):
http://www.de.debian.org/debian-user-german-FAQ/
Zum AUSTRAGEN schicken Sie eine Mail an [EMAIL PROTECTED]
mit dem Subject "unsubscribe". Probleme? Mail an [EMAIL PROTECTED] (engl)
