noexec в опциях /etc/fstab на /home, /tmp, /dev/shm и т.п. (ну, что доступно на запись пользователям, туда и noexec )

В grsecurity, кажется, было что-то на предмет trusted path execution, но грсек -- это головная боль.

Re^2: Запрет запуска программ

> noexec в опциях /etc/fstab на /home, /tmp, /dev/shm и т.п. (ну, что доступно на запись пользователям, туда и noexec )

> В grsecurity, кажется, было что-то на предмет trusted path execution, но грсек -- это головная боль.

можно ли сделать noexec, если и /tmp и /home в /-разделе?

mount --bind olddir newdir

After this call the same contents is accessible in two places. One can also remount a single file (on a single file).

Это?

Re^4: Запрет запуска программ

> mount --bind olddir newdir

> After this call the same contents is accessible in two places. One can also remount a single file (on a single file).

> Это?

что с чем ты предлагаешь биндить? и подойдёт ли туда noexec. и к чему именно оно тогда будет относиться?

man mount смотрел

mv /home /home.real ; mkdir /home ; mount -o noexec /home.real /home

Будет-ли noexec - не знаю, но можно попробовать?

Re^6: Запрет запуска программ

> Будет-ли noexec - не знаю, но можно попробовать?

# cd /home.real
# ./koro1grabber
Koro1 grabbed!
# cd /home
# ./koro1grabber
Koro1 grabbed!

не доверяй и проверяй!

А спасёт ли noexec от

$python icq.py ?

А смысл делать защиту, если все равно можно сделать cat evil.py | python? Другое дело, что накропать evil на питоне, перле или шелле намного сложнее, чем на C.

Нет, можно конечно все скриптовые языки пропатчить на предмет невосприятия stdin (про perl -e 'print "hello!\n"' не забываем), но это видимо overkill и ни один большой дистрибутив такого делать не будет.