(fwd) Re: ssh tohost xterm -display myhost:0

Andrey Gerzhov (kittle@freeland.alex-ua.com)
Mon, 19 Oct 1998 09:26:44 +0300 (EEST)

-- forwarded message --
Path: freeland.alex-ua.com!barmaglot.alex-ua.com!f188.n463.z2!f116.n463.z2!f58.n463!f238.n5020!f400.n5020!ddt.demos.su!fido-news-server
Newsgroups: fido.ru.unix
Distribution: fido
X-Comment-To: All
From: Igor Vinokurov <igor@rtsnet.ru>
X-FTN-Sender: Igor Vinokurov <Igor.Vinokurov@f400.n5020.z2.fidonet.org>
Date: Sun, 18 Oct 98 20:19:12 +0300
Subject: Re: ssh tohost xterm -display myhost:0
Message-ID: <362a2301.0@news-local.rtsnet.ru>
References: <6vd0ev$t97$2@hq.mark-itt.ru> <6vjg5i$5fj@pccross.average.org> <362615da.0@news-local.rtsnet.ru> <706oh3$acv$1@ddt.demos.su> <36270628.0@news-local.rtsnet.ru> <70d3am$nec$1@ddt.demos.su>
Organization: Russian Trading System
X-FTN-AREA: RU.UNIX
X-FTN-MSGID: news-local.rtsnet.ru ee5d7778
X-FTN-REPLY: ddt.demos.su cf2ddc13
X-FTN-Tearline: ifmail v.2.14dev2
X-FTN-Origin: Russian Trading System (2:5020/400@fidonet)
X-FTN-SEEN-BY: 50/381 520 615 993 461/121 463/5 18 58 68 72 89 93 116 126 130 156
X-FTN-SEEN-BY: 463/159 166 173 177 188 220 244 246 252 306 432 600 690 707 1006
X-FTN-SEEN-BY: 464/100 465/185 467/10 469/124 478/20 490/63 4613/204 4614/1 4615/7
X-FTN-SEEN-BY: 4615/21 4616/3 4623/17 4625/3 4631/13 4635/4 5001/15 211 5002/16
X-FTN-SEEN-BY: 5003/15 5006/1 5007/1 5011/13 201 5012/1 5015/28 5020/62 68 118 204
X-FTN-SEEN-BY: 5020/238 240 300 400 443 487 510 748 1057 1169 1200 1381 1851 4000
X-FTN-SEEN-BY: 5022/5 5023/1 11 5024/11 5025/2 5027/16 5028/51 5029/5 5030/23 115
X-FTN-SEEN-BY: 5030/251 5032/3 5034/1 5036/1 2 5049/1 6 256 5050/5050 5051/15
X-FTN-SEEN-BY: 5054/9 10 5055/44 5057/1 5058/24 5059/2 5060/88 5061/7 15 48 5064/5
X-FTN-SEEN-BY: 5065/1 10 5066/2 5069/1 2 5074/9 5075/10 5077/3 5078/15 5080/80
X-FTN-SEEN-BY: 5080/1003 5083/21 61 5084/10 5085/250 5094/5094 5100/21
X-FTN-PATH: 5020/400 238 463/58 116
X-FTN-PATH: 463/188
Lines: 36
Xref: freeland.alex-ua.com fido.ru.unix:2370

Eugene B. Berdnikov <berd@desert.ihep.su> wrote:
>>>> А не пробовал стать на удаленной машине рутом, сделать su и запустить
>>>> себе на Xserver оттуда xterm? Получается, блин.
>>>
>>> А что тут удивительного?
>>> Если su без "-", то DISPLAY наследуется потомком. Для того и придуман ssh.
>>
>> Я к тому, что это потенциальная дыра.
>
> Поясни, что это за дыра такая, которую никто из пяти десятков разработчиков
> и сотен тысяч юзеров до сих пор не заметил.

Хм. Для того, чтобы получить доступ к моему X-серверу нужно только
взломать хост, на который я вхожу ssh'ем с включенным X11 fwd, т.е.
интрудер становится на взломанной машине рутом, с помощью su меняет
uid на мой и получает доступ к псевдо DISPLAY, который создал для
меня мой ssh клиент. Понимаешь? Я вот сейчас на своей машине создал
фиктивного юзера, сделался из под него рутом, поменял uid на свой и
запустил себе на X-сервер xterm.

Вместо xterm может быть что-нибудь посерьезнее. В общем, даже если
ты ходишь свозь прокси и firewall'ы есть вероятность, что с X11 fwd
подхватишь на удаленной сломанной машине хакера.

Разработчики, кстати, об этом тоже вроде бы пишут в доках.

По-этому, у меня в X11 fwd везде запрещен, а в .fvwm2rc обычно:

+ "vulcan" Exec exec xterm -ut -e ssh vulcan &

-- 
Игорь Винокуров
Российская Торговая Система


P.S: И не надо нервничать. :)


-- end of forwarded message --



-- 
С тем, что не помешает никогда,
                                               Kittle