Linux глазами хакера

6:2345:respawn:/sbin/mingetty tty6

Здесь на шести терминалах (ttyX, где X — это номер терминала или виртуальной консоли) выдается сообщение на вход в систему. Это не есть хорошо, потому что хакер может воспользоваться любой консолью для проникновения в систему (в качестве администратора). Чтобы этого не произошло, можно запретить вход со всех терминалов, кроме одного. Для этого нужно заменить флаг respawn на off.

Вообще-то можно это и не делать. Есть способ лучше — конфигурирование настроек tty, которые находятся в файле /etc/securetty. Пример такого файла вы можете увидеть в листинге 3.3.

Листинг 3.3. Файл /etc/securetty

vc/1

vc/2

vc/3

vc/4

vc/5

vc/6

vc/7

vc/8

vc/9

vc/10

vc/11

tty1

tty2

tty3

tty4

tty5

tty6

tty7

tty8

tty9

tty10

tty11

Этот файл определяет консоли и терминалы, с которых можно подключаться с правами root. Первые одиннадцать строк определяют 11 виртуальных консолей, остальные — назначают окна терминалов. Чтобы разрешить вход с одного терминала, оставьте только строку tty1, а все остальные удалите. Таким образом, терминалы будут доступны для работы, но только с первого можно подключиться с правами root.

Для переключения между виртуальными консолями нужно нажать клавишу и любую клавишу от до .

Самая последняя строка выполняется только на 5 уровне:

x:5:respawn:/etc/X11/prefdm -nodaemon

Эта строка запускает команду /etc/X11/prefdm, которая переводит работу в графический режим и отображает соответствующее окно входа в систему, которое мы рассматривали в разд. 2.7. Если вы используете текстовый режим, то для запуска графической оболочки можно использовать описанную ранее команду.

Если нужно, чтобы программа инициализации просмотрела конфигурационный файл inittab без смены уровня, то можно вручную принудить init запуститься. Для этого выполните команду:

/etc/init q

Для перехода на другой уровень необходимо выполнить команду:

telinit X

где X — новый уровень, на котором должна работать ОС. Эта команда удобна, если вы грузитесь на пятом уровне. В этом случае легко перейти в текстовый режим на уровень 3. Если завершать графический режим штатными средствами оболочки, то ОС не будет выходить в текстовый режим, а останется графическое приглашение на ввод пароля.

А теперь небольшой фокус. Что будет, если воспользоваться командой telinit 6? Конечно же, начнется перезагрузка системы (в соответствии с назначением 6 уровня). А при выполнении команды telinit 0 (переход на нулевой уровень) произойдет выключение системы, как при выполнении команды shutdown -h now.

И все же я не советую употреблять переходы на 0 и 6 уровни, а использовать законный выход, т.е. команду shutdown.

3.2.4. Интересные настройки загрузки

Рассмотрим парочку файлов, которые хоть и незначительно, но влияют на загрузку.

Прежде чем появится приглашение ввести пароль, на экране отображается текстовая информация, пояснение. Чаще всего, здесь разработчик пишет имя дистрибутива и его версию. Эта информация хранится в файле /etc/issue, и вы легко можете его изменить в любом текстовом редакторе, в том числе и во встроенном в Midnight Commander.

После входа в систему тоже может выводиться текстовое сообщение, но по умолчанию в большинстве дистрибутивов оно отсутствует. Текст этого сообщения находится в файле /etc/motd, он может содержать новости для пользователей системы или каким-либо образом информировать об изменениях. Например, каждого первого числа месяца напоминать о необходимости сменить пароль.

3.3. Регистрация в системе

Теперь познакомимся с процессом регистрации пользователя в системе. Это поможет вам лучше понять систему безопасности, которая используется в ОС Linux при авторизации.

Мы уже знаем из разд. 3.2, что программа init загружает виртуальные консоли getty. Каждая из них для работы требует авторизации и запрашивает имя пользователя. Для этого на экран выводится окно приглашения. Введенное имя пользователя передается программе login, а она в свою очередь запрашивает пароль.

Программа login сравнивает имя пользователя со списком имен в файле /etc/password, а пароль — с соответствующей записью в файле /etc/shadow. Все пароли в файле хранятся только в зашифрованном виде. Для сопоставления введенный пароль тоже шифруется, и результат сравнивается со значением в файле /etc/shadow для указанного имени пользователя.