Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Релиз ядра Linux 4.10, opennews (?), 20-Фев-17, (0) [смотреть все] Радует, что хоть что-то удаляют А то растаращит так, что лопнет же , iPony (?), 07:16 , 20-Фев-17, (1) –7 // Радует, что за 12309, кажется, всё же решили взяться , Анончег (?), 03:53 , 21-Фев-17, (240) +4 У меня дежавю это же в точь в точь подходит под описание https bugzilla kernel, Аноним (-), 07:28 , 20-Фев-17, (2) +8 // это оно и есть, анонимус_б6_выпуск_3 (?), 08:01 , 20-Фев-17, (7) +2 Не на том баге держится всё ядро линукс, его нельзя исправлять, он был есть и бу, анан (?), 08:23 , 20-Фев-17, (10) +7 Для полноты картины http lurkmore to 12309 И кстати на моей системе он виден , Аноним (-), 10:43 , 20-Фев-17, (24) А показывать реальную скорость записи на usb-накопитель Линукс не научили ещё И, Аноним (-), 10:48 , 20-Фев-17, (25) +3 // Индикатор на корпусе флешки вам в помощь , Аноним (39), 11:16 , 20-Фев-17, (39) –6 // Типичный ответ линуксоида У меня в дорогом финском мидл тауэре юсб-порты на пере, Аноним (-), 11:27 , 20-Фев-17, (43) –2 А как по-человечески Сталкиваясь, например, с вендой я поступаю вот ровно так, Ordu (ok), 11:35 , 20-Фев-17, (45) +7 В винде корректно отображается скорость записи на внешний накопитель А не 120 м, Аноним (-), 13:14 , 20-Фев-17, (71) –1 Линукс ядро такое конечно же позволяет сделать очень даже запросто можно наблю, Аноним (-), 14:15 , 20-Фев-17, (86) +1 Монтируй флешку с опцией sync, и будет тебе нормально отображаться скорость запи, Ordu (ok), 18:34 , 20-Фев-17, (165) +6 Монтируй флешку - это что-то из давно забытого Теперь надо еще найти, как монти, Толл (?), 19:31 , 20-Фев-17, (175) –2 Ну, тут уж я ничем помочь не могу Мне точно так же как и тебе было лень разбира, Ordu (ok), 19:46 , 20-Фев-17, (180) Ну тогда дамское зеркальце вам в помощь , Аноним (46), 11:39 , 20-Фев-17, (46) +6 С селфи палкой , soarin (ok), 17:25 , 21-Фев-17, (289) –1 Можно в терминале выполнить команду sync , neon1ks (ok), 11:41 , 20-Фев-17, (48) +3 А у меня на недорогом китайском всё в порядке Выброси свой дорогой финский мидл, Аноним (-), 12:48 , 21-Фев-17, (273) +1 4 флешки и все без индикаторов Что делать , Аноним (-), 11:39 , 20-Фев-17, (47) Релиз ядра Linux 4.10, Аноним (198), 21:39 , 20-Фев-17, (198) +1 припаять индикатор, Мадара (ok), 22:05 , 20-Фев-17, (203) –1 Флешки сжечь Голову посыпать пеплом , Аноним (262), 10:17 , 21-Фев-17, (262) Бред несёте Не у всех флешек имеется индикатор вовсе, помимо того, что он не обя, ЛинуксПользователь (ok), 15:26 , 20-Фев-17, (104) +2 gt оверквотинг удален Да мать ети, в виндовс для флэшек не отключен кэш на зап, ПавелС (ok), 15:53 , 20-Фев-17, (116) Какая разница что и где отключено, если ПОЛНОЦЕННЫЙ ПРОЦЕСС ЗАПИСИ от момента к, Адекват (ok), 08:05 , 21-Фев-17, (247) –3 Что у тебя за флешки такие, с ntfs-ом, чтоли Да даже на ntfs так не тормозит ЗЫ, Аноним (-), 16:00 , 20-Фев-17, (119) +3 Очевидно, благородный дон исключает вероятность существования на данном глобусе , ryoken (ok), 16:01 , 20-Фев-17, (120) +1 Дорогой финский мидл тауэер с перевернутыми кверх тормашками usb портами вам в п, Аноним (201), 21:52 , 20-Фев-17, (201) –1 Отмонтирование флешки закончится тогда, когда всё запишется , 1111 (??), 11:56 , 20-Фев-17, (54) // Но ведь можно сделать umount -f И там не будет дополнительной проверки и диалог, Аноним (-), 16:14 , 20-Фев-17, (123) –3 Можно взять и разломать флешку пополам Там тоже внезапно никаких диалогов подтв, Гентушник (ok), 01:23 , 21-Фев-17, (235) +2 У меня в KDE при безопасном извлечении флешки устройство из списка подключенных , Аноним (-), 15:35 , 20-Фев-17, (108) +7 Какой ты толстый У линукса оказывается есть интерфейс, который показывает скоро, p5n (ok), 15:56 , 20-Фев-17, (117) sync, bs0d (?), 01:57 , 21-Фев-17, (236) не пиши через кеш, all_glory_to_the_hypnotoad (ok), 02:30 , 21-Фев-17, (237) Это вариант при записи, есть ещё вариант при чтении с mtp android через тот-же , Аноним (-), 11:18 , 20-Фев-17, (40) –1 // p s ядро 4 9 debian jessie, диск не системный, Аноним (-), 11:19 , 20-Фев-17, (41) –1 Syncthing в помощь Пользуюсь 8212 не нарадуюсь, Аноним (-), 12:48 , 20-Фев-17, (64) https bugzilla kernel org show_bug cgi id 12309 c648Похоже нужно экстремально , Аноним (-), 11:54 , 20-Фев-17, (51) // не обязательно чтобы само устройство было экстремально тормозным то же самое мо, Аноним (-), 12:40 , 20-Фев-17, (61) // Насчет swap Тормоза от активного свопа вполне логичны, привычны и кроссплатформ, Аноним (-), 14:52 , 20-Фев-17, (95) Из личных наблюдений по работе приходится иметь дело с оффтопиком, так вот торм, Аноним (-), 15:18 , 20-Фев-17, (102) +2 Люто плюсую, такая-же х та только во фре Если распаковывается допустим тарбол , Лютый (?), 16:08 , 20-Фев-17, (122) kern sched preempt_thresh 224vm pageout_oom_seq 2kern ipc shm_use_phys 1vm defer, Аноним (-), 16:33 , 20-Фев-17, (132) Я бы не стал принимать советы от анонима из интернета, не понимая что они значат, Адекват (ok), 08:12 , 21-Фев-17, (249) –1 Как минимум, сгодится как указание, куда копать, Crazy Alex (ok), 14:02 , 21-Фев-17, (278) gt оверквотинг удален Сказал любитель закрытых осей и бинарей sysctl -d ke, Аноним (-), 14:27 , 21-Фев-17, (279) Ну вот что-то хитрое устроили У меня как раз было самое приятное впечатление о , Аноним (-), 17:28 , 20-Фев-17, (153) Товарищ свыше про фрю наверное говорил не про вставание колом при копировании,, ОлдФак (ok), 20:32 , 20-Фев-17, (186) При записи на флэшку только первые пару сек тормоза ощущаются 64бит ЧЯДНТ o_O, Андрей (??), 23:42 , 21-Фев-17, (296) а это редкий кейс Кажется, что это как раз и есть типичная ситуация, разве нет , Аноним (-), 13:07 , 20-Фев-17, (68) // Именно Очень частый кейз Например, на машине с 16 ГБ памяти я вляпываюсь в э, Stax (ok), 14:54 , 20-Фев-17, (96) Насчет прям типичности не уверен Не с пустого места производители и продавцы же, Аноним (-), 15:05 , 20-Фев-17, (101) Он и есть Ахахаха Сколько лет, сколько зим Ну все, теперь ни что не останов, crypt (ok), 14:57 , 20-Фев-17, (98) –1 Секта свидетелей 12309 подошла И ни одного багрепорта, as always , Аноним (-), 17:12 , 21-Фев-17, (287) +2 // Они стараются не отставать от секты Отрицающих Ваш КО , Аноним (-), 17:16 , 21-Фев-17, (288) // Начнем с того, что сам баг давно исправлен, и уже много лет это толстый троллинг, Аноним (-), 18:04 , 21-Фев-17, (290) –1 Иди в пень, насчет исправлен Достали такие защитнички Linux Лишь чо брякнуть, Аноним (-), 12:50 , 27-Фев-17, (343) +1 На моём компе в Ubuntu Mate 14 04 5 LTS такой проблемы каких-либо тормозов при о, keka (?), 11:19 , 24-Фев-17, (340) –1 Годное , eRIC (ok), 07:43 , 20-Фев-17, (3) Наконец построили, Kleemhead (?), 07:53 , 20-Фев-17, (4) –1 Годнота Особенно GVT-g Будим пробыватьP S злые админы удалили мою толстую п, Lolwat (?), 08:00 , 20-Фев-17, (6) –4 // все правильно сделали, Аноним (-), 10:11 , 20-Фев-17, (23) Пока еще не годнота Direct display не впилили, а это значит, что пользоваться м, Аноним (-), 12:01 , 20-Фев-17, (56) // да блин, а я уже обрадовался продолжу пользователь vfio для проброса gpu в мо, Fixer (?), 13:11 , 20-Фев-17, (70) джва года ждал , Аноним (-), 08:04 , 20-Фев-17, (8) // Я помню меня тоже сильно напрягал этот баг, Игорь (??), 08:48 , 20-Фев-17, (14) –1 Джва Я лет 5 мучался, а потом отпала нужда писать чтолибо на флешки , yekm (ok), 11:07 , 20-Фев-17, (33) –1 Поддержку Ryzen уже добавили , Аноним (-), 08:22 , 20-Фев-17, (9) // Начальную точно - https git kernel org cgit linux kernel git torvalds linux gi, Аноним (-), 09:31 , 20-Фев-17, (18) +1 Новые слова однако , Аноним (-), 09:13 , 20-Фев-17, (15) –3 // Если вы не знайте какого-то слова, то это не значит, что его нет https ru wiki, Аноним (-), 09:51 , 20-Фев-17, (19) –1 // Что ты мне ссылку на википедию даешь, на заборе тоже написано Поллинг прямо ново, Аноним (-), 11:08 , 20-Фев-17, (34) –2 // А как надо было написать Опрашивание , llolik (ok), 13:05 , 20-Фев-17, (67) Внезапно, опрос Вполне себе уайдли юзд терм , электронщег (?), 18:51 , 20-Фев-17, (170) Вот только если написать опрос , хрен кто поймёт о чем речь Опрос слишком о, Аноним (-), 22:32 , 20-Фев-17, (205) Даже если я буду обсуждать с коллегами софт для социологических ОПРОСОВ методом , электронщег (?), 01:21 , 21-Фев-17, (234) –1 Polling к опросу состояния драйвера при работе GUI не имеет никакого отношения , Аноним (-), 08:39 , 21-Фев-17, (255) Для этого и написали явно поллинг , чтобы подобной путаницы не возникало и спец, Аноним (-), 11:51 , 21-Фев-17, (270) Чем это отличается от описанного мною случая Какая разница, ядро или пространст, электронщег (?), 19:22 , 21-Фев-17, (292) –1 Ну да, для вас авторитетов нет Википедия, с её моделью верификации и системой д, Аноним (-), 22:36 , 20-Фев-17, (208) +1 А вы писали статьи в википедию А мы писали И, действительно, что угодно там не, Неизвестный Автор (?), 11:48 , 21-Фев-17, (269) –1 А я рад наконец то решению проблемы со флешками А то запишется за 10 секунд , а, Аноним (-), 09:21 , 20-Фев-17, (16) +1 // Вот только непонятно со CIFS Что они там реализовали то , Аноним (-), 09:22 , 20-Фев-17, (17) –1 Реальная скорость записи на флешку не увеличилась, а уменьшилась То есть мигать, Ordu (ok), 11:43 , 20-Фев-17, (49) // У кого чего болит , Аноним (-), 11:55 , 20-Фев-17, (53) Это работает только с личными данными Рабочие обычно нельзя на всяких дропбокса, Я (??), 12:41 , 20-Фев-17, (62) // Для рабочих конторой поднимается свой сервис Сетку, в отличие от флешки, хоть , Crazy Alex (??), 14:13 , 20-Фев-17, (84) Наличие смотрящего наружу сервиса -- уже потенциальная дыра, поэтому важные данн, Я (??), 16:17 , 20-Фев-17, (126) –1 Ну, если выносить из-за периметра железо - это более приемлемо Успехов В общ, Crazy Alex (ok), 18:46 , 20-Фев-17, (167) Флешки хреново работают в линукс - флешки нинужно , Аноним (-), 13:46 , 20-Фев-17, (76) –1 // да нормально они работают мне например такое поведение больше нравится - не нуж, Аноним (-), 15:39 , 20-Фев-17, (109) Да нормально они работают, но гуглодрайв реально удобнее Он не только для лично, Ordu (ok), 18:28 , 20-Фев-17, (164) Ага, осталось только телевизор у моих родителей подключить к интернету, и научит, Адекват (ok), 08:30 , 21-Фев-17, (254) // А не надо было родителям покупать телевизор без ethernet-разъёма или без wifi О, Ordu (ok), 08:44 , 21-Фев-17, (256) Только им еще и интернет нужно домой будет провести, а он им просто не нужен , Адекват (ok), 09:01 , 21-Фев-17, (257) –3 Открою секрет самба работает без интернета Ну, локальная, по-крайней мере , Ordu (ok), 18:42 , 21-Фев-17, (291) +1 Чё-то родители не захотели смотреть как работает локальная самба Говорят голливу, Аноним (-), 02:01 , 22-Фев-17, (300) –2 Так глядишь лет еще через пять и сделают нормальный фаерволл Может быть , Аноним (-), 09:59 , 20-Фев-17, (20) –3 // Эм, а как фильтрация пакетов, именно её в самом простом случае, выполняет Packet, zanswer CCNA RS (?), 11:00 , 20-Фев-17, (30)   // Всегда было iptables -A OUTPUT -j REJECT -m owner --uid-owner 50-100, Аноним (-), 12:47 , 20-Фев-17, (63) –2   Потому что GNU Linux не сохраняет нигде пути до экзешника и сам экзешник может б, Аноним (-), 14:58 , 20-Фев-17, (99)   Ну вот потому и 2 , в том числе Потому что юзкейс разрешить одной проге ходить, Аноним (-), 16:14 , 20-Фев-17, (125) –3   какой-то странный продакшен я работаю с крупными североамериканскими конторам, Аноним (-), 17:07 , 20-Фев-17, (148) +3   Именно поэтому он работает в разрезе программ Даже если файл программы изменилс, Аноним (-), 17:17 , 20-Фев-17, (151) –3   A в разрезе программ это как , Аноним (-), 18:03 , 20-Фев-17, (159)   в разрезе Х в детализации по Х Права задаются для программы пути к исполня, Аноним (-), 18:24 , 20-Фев-17, (162) –2   Группы еще в юниксах были Наконец-то индеец заметил, что нет одной стены , Аноним (-), 19:36 , 20-Фев-17, (177) +1   gt оверквотинг удален У вас там еще в текстовом процессоре нет настройки Кому, vi (ok), 21:40 , 20-Фев-17, (199) +2   Не уверен - не срывай Попутно же можно загуглить как мракософт меняет позу своег, Анонимм (??), 00:30 , 21-Фев-17, (230) +1   Тебе есть куда стремиться - в системе еще дофига файлов, как рассадишь каждый в , Аноним (-), 10:16 , 21-Фев-17, (261) –2   Расскажите это микроядерщикам Там тоже всякий чих - в отдельном адресном простр, Анонимм (??), 10:28 , 21-Фев-17, (264) –2   gt оверквотинг удален Уважаемый Аноним,так это хорошо, или плохо что можно каж, Аноним (-), 02:24 , 22-Фев-17, (301) +1   Это хорошо и полезно в некоторых случаях, но всех по контейнерам не рассадишь , Аноним (-), 08:47 , 22-Фев-17, (313) –1   Да 1 Тюрьмы ж не резиновые , Andrey Mitrofanov (?), 09:55 , 22-Фев-17, (315)   Например, что принципиально невозможно ограничить лишь ему нужными файлами и или, Анонимм (??), 10:12 , 22-Фев-17, (316)   лол, так а если этих прав уже достаточно для нанесения вреда понадеялись на то,, Аноним (-), 18:23 , 20-Фев-17, (161)   Проблемы безопасности доступа к файлу это не проблема файрволла Кроме того, ник, Аноним (-), 18:54 , 20-Фев-17, (171) –1   вот про это я и говорю защита по сути бесполезна, т к работает ТОЛЬКО в компле, Аноним (-), 10:52 , 21-Фев-17, (266)   И зачем во всяких там армиях и спецурах таскают всякие шлемы и броники Можно ж , Аноним (-), 15:12 , 21-Фев-17, (284) –1   https shiftordie de blog 2013 11 12 http-over-x509-revisited Статья старая, од, Аноним (-), 14:47 , 22-Фев-17, (326)   Свежая атака на Python http www itworld com article 3172604 security java-and, Аноним (-), 15:32 , 22-Фев-17, (328)   А что такое одна прога Вы как её уникально идентифицировать собрались Ц Pro, Аноним (-), 17:41 , 20-Фев-17, (154)   Похоже, что это локалхостство Если у вас есть какие-никакие севера, то они разд, Аноним (-), 17:46 , 20-Фев-17, (156) +3   В такой постановке задача вообще решается в юзерспейсе построением маппинга пут, Crazy Alex (ok), 16:27 , 20-Фев-17, (127)   А что будет если удалить файл знаешь Можешь Я говорил про то, что оригинальный , Аноним (-), 16:40 , 20-Фев-17, (136)   К имени файла симлинке добавится deleted , содержимое файла останется доступным, Аноним (-), 17:41 , 20-Фев-17, (155)   Именно, Crazy Alex (ok), 19:36 , 20-Фев-17, (176)   Беда-печаль Держи веселый код unlink argv 0 prctl PR_SET_DUMPABLE, 0UL, 0, , Аноним (-), 20:15 , 20-Фев-17, (185) –2   И что, по-твоему, должен сделать этот пример Удалить файл Да вперёд, имеет пол, Crazy Alex (ok), 21:11 , 20-Фев-17, (194)   rm -f proc self exerm невозможно удалить proc self exe Отказано в доступ, Анонимм (??), 00:38 , 21-Фев-17, (231)   Иди читай ман Ты вообще код прочитал Ты прочитал или выскочил выи тся Что , Аноним (-), 05:57 , 21-Фев-17, (241) –1   А сердешный, то-то я смотрю у Вас таких нет следовательно не знаетеНа случ, Анонимм (??), 10:21 , 21-Фев-17, (263) +2   Я понял чё это Вы так взъерошились на других Во бзде, оказывается по умолчанию э, Анонимм (??), 11:30 , 21-Фев-17, (268)   Во-первых, признаю свой косяк с proc pid exe Действительно, procfs монтируется, Аноним (-), 14:58 , 22-Фев-17, (327) –1   Ничё, бывает Я вон дальше по треду разошёлся, что ld so загрузчик может грузить, Анонимм (??), 23:28 , 22-Фев-17, (333) +1   И кстати, о безопасности Если же знанием о файле запуска бинаря Вы планируете за, Анонимм (??), 00:34 , 23-Фев-17, (334)   Надоело спорить, у тебя слишком много повторяющейся простыни Почитай man 2 prct, Аноним (-), 10:12 , 23-Фев-17, (337) –1   Дело сугубо добровольное Но лично мне было полезно О как Спасибо за наводку Да,, Анонимм (??), 11:11 , 23-Фев-17, (338) +1   Capabilities Не, не слышал А привязыввается оно не к путям файлов, а к метаданн, Аноним (-), 23:40 , 20-Фев-17, (226)   Пусть сперва реестр доделают , Аноним (-), 11:02 , 20-Фев-17, (32) –2 акеры энтузиасты анонимы не подсчитаны 124 , chinarulezzz (ok), 10:51 , 20-Фев-17, (26) +3 // 25 Но это чуваки которые официально не указываются компанию Часто бывает, чт, Аноним (-), 08:00 , 21-Фев-17, (245) Ааааааааа Релиз достоин номера 5 0 Вообще-то подвисания наблюдаются и на медлен, Аноним (-), 11:02 , 20-Фев-17, (31) –1 // Насколько я понял, там занимались проблемой с io в принципе, а не конкретно c US, llolik (ok), 11:12 , 20-Фев-17, (35) +1 // давно пора, а то стыд такой, leap42 (ok), 12:51 , 20-Фев-17, (65) –2 Интересно Никто не пробовал заводить upstream-ядро на Amlogic-девайсах , h31 (ok), 12:00 , 20-Фев-17, (55) –1 Внезапно Надо будет оценить , iCat (ok), 13:51 , 20-Фев-17, (77) Сколько всего вкусного Вот именно это ядро должно было стать LTS ИМХО Хотя мне, Ilya Indigo (ok), 16:38 , 20-Фев-17, (135) –1 WiFi для Raspberry Pi 3 сделали , Аноним (-), 16:45 , 20-Фев-17, (138) +1 // А оно разве не работало Я просто не в курсе, у меня с из под их Raspbian Wifi р, llolik (ok), 18:27 , 20-Фев-17, (163) 171 Бортовой 187 wi-fi на малине работает ещё в 4 8 171 из коробки 187 , AlexYeCu (ok), 22:28 , 21-Фев-17, (295) Если я правильно понял, то этот Atomic Mode-Setting - более совершенная замена K, Sunderland93 (ok), 16:59 , 20-Фев-17, (144) –1 Что за блобы У автора скудный словарный запас, не позволяющий описать ситуаци, Аноним (-), 21:58 , 20-Фев-17, (202) –2 // Есть такая вещь как термины Если вы читайте про ядро, то должны ими владеть PS , Аноним (-), 22:40 , 20-Фев-17, (210) // Лажепедия - это для вас авторитет Ну-ну Вместо мартышкинского блоб вполне м, Kodir (ok), 01:17 , 21-Фев-17, (233) –4 // лол, термин модуль здесь вообще не подходит , Аноним (-), 08:03 , 21-Фев-17, (246) +1 В контексте Linux Libre скомпилированный модуль - это _совсем_ не то И в сост, Аноним (-), 08:28 , 21-Фев-17, (253) Вот самая киллеp-фича данного ядра К сожалению, только для Intel video , Аноним (-), 23:48 , 20-Фев-17, (228) // думаю другие скоро подтянутся, так как это рынок виртуал десктоп Его сейчас акт, Аноним (-), 11:57 , 21-Фев-17, (271) –1 Джва года ждал , th3m3 (ok), 00:23 , 21-Фев-17, (229) разве это не решалось через пометку mark в iptables , edo (ok), 04:32 , 22-Фев-17, (304) +1 Может скажу не то, но знатоки меня поправят Цитата из текста - Добавлена поддер, Аноним (-), 08:22 , 23-Фев-17, (335) –1 // Ну если можешь позволить себе держать на винде несекретные данные для заокеански, Анонимм (??), 10:02 , 23-Фев-17, (336) Linux умеет выводить HDMI звук через Альсу лет 10 или 15 уже В том числе из Kod, Аноним (-), 11:27 , 23-Фев-17, (339) +1 Вранье в общем Поставил последнее ядро 4 10 X, баг как был так и остался Приче, Аноним (-), 10:06 , 02-Апр-17, (345) Фиг там что исправили Подвисания системы при записи на любой носитель всё ещё е, Аноним (346), 19:36 , 22-Окт-21, (346) 1,2,3,4,6,8,9,15,16,20,26,31,55,77,135,138,144,202,228,229,304,335,345,346

Сообщения

[Сортировка по времени | RSS]

	30. "Релиз ядра Linux 4.10"	+/–
	Сообщение от zanswer CCNA RS (?), 20-Фев-17, 11:00
	Эм, а как фильтрация пакетов, именно её в самом простом случае, выполняет Packet Filter (Firewall), связана с возможностью выполнение маршрутизации на основе UID приложения (Policy Routing)?
	Ответить | Правка | Наверх | Cообщить модератору

Часть нити удалена модератором

	63. "Релиз ядра Linux 4.10"	–2 +/–
	Сообщение от Аноним (-), 20-Фев-17, 12:47
	Всегда было... # iptables -A OUTPUT -j REJECT -m owner --uid-owner 50-100
	Ответить | Правка | К родителю #254 | Наверх | Cообщить модератору

	99. "Релиз ядра Linux 4.10"	+/–
	Сообщение от Аноним (-), 20-Фев-17, 14:58
	>Доколе? Потому что GNU/Linux не сохраняет нигде пути до экзешника и сам экзешник может быть удален напрочь (в отличие от винды, где это невозможно). Более того, места где сохраняется путь -- модифицируемы, что ведет к тому, что процесс невозможно отследить как надо. Это, конечно, не является проблемой для BSD-систем, где путь до экзешника находится либо в read-only, либо дается копия для модифицирования путя пользователем. Итого. Можно ждать вечность. По факту до того момента пока не пофиксят правила модификации пути исполняемого файла.
	Ответить | Правка | К родителю #254 | Наверх | Cообщить модератору

	125. "Релиз ядра Linux 4.10"	–3 +/–
	Сообщение от Аноним (-), 20-Фев-17, 16:14
	Ну вот потому и 2%, в том числе. Потому что юзкейс "разрешить одной проге ходить в инет на один определенный адрес, другой - только в локалку, а третьей вообще только на локалхост" встречаются в продакшене сплошь и рядом. И в линухе они либо не решаемы вообще, либо костылями через /dev/ass. Потому что корпоративные политики безопасности плевать хотели на кукареканье с дивана одминов локалхоста, что линух, дескать взломоустойчив, не то что дырявая В-нда.
	Ответить | Правка | Наверх | Cообщить модератору

	148. "Релиз ядра Linux 4.10"	+3 +/–
	Сообщение от Аноним (-), 20-Фев-17, 17:07
	> Ну вот потому и 2%, в том числе. Потому что юзкейс "разрешить > одной проге ходить в инет на один определенный адрес, другой - > только в локалку, а третьей вообще только на локалхост" встречаются в > продакшене сплошь и рядом. И в линухе они либо не решаемы > вообще, либо костылями через /dev/ass. Потому что корпоративные политики безопасности > плевать хотели на кукареканье с дивана одминов локалхоста, что линух, дескать > взломоустойчив, не то что дырявая В-нда. какой-то странный продакшен... я работаю с крупными североамериканскими конторами, нигде такой глупости нет. фаерволы там вообще внешние по отношению к группам серверов. и там определяется, куда может лезть сервер, а куда не может. т.к. на скомпрометированном сервере ограничивать по пути приложения - глупость несусветная. кто даст гарантию, что это действительно то приложение с тем функционалом, которому эти права давались? или фаервол по твоему еще должен за хешами бинарников следить?
	Ответить | Правка | Наверх | Cообщить модератору

	151. "Релиз ядра Linux 4.10"	–3 +/–
	Сообщение от Аноним (-), 20-Фев-17, 17:17
	> кто даст гарантию, что это действительно то приложение с тем функционалом, которому эти права давались? или фаервол по твоему еще должен за хешами бинарников следить? Именно поэтому он работает в разрезе программ. Даже если файл программы изменился, она не получит больше прав, чем ей было изначально необходимо.
	Ответить | Правка | Наверх | Cообщить модератору

	159. "Релиз ядра Linux 4.10"	+/–
	Сообщение от Аноним (-), 20-Фев-17, 18:03
	A "в разрезе программ" это как ?
	Ответить | Правка | Наверх | Cообщить модератору

	162. "Релиз ядра Linux 4.10"	–2 +/–
	Сообщение от Аноним (-), 20-Фев-17, 18:24
	"в разрезе Х" = "в детализации по Х" Права задаются для программы (пути к исполняемому файлу), значит они задаются в разрезе программ. Впоследствии можно построить отчёт какая программа куда имеет доступ, сравнив имеющийся доступ с минимально требуемым. Это значительно удобнее, чем осуществлять контроль прав в разрезе пользователей или групп пользователей. В новых версиях Windows есть понятие "список разрешённых программ", что позволяет создать группы пользователей по их ролям в компании. Это позволяет централизованно (через AD) настраивать права в соответствии с ISO 9001 (описывает кто конкретно что конкретно делает и кто конкретно за что конкретно отвечает). Не уверен, что Линукс даже близко к этому подошёл. На мой взгляд, он идёт совсем в другом направлении.
	Ответить | Правка | Наверх | Cообщить модератору

	177. "Релиз ядра Linux 4.10"	+1 +/–
	Сообщение от Аноним (-), 20-Фев-17, 19:36
	Группы еще в юниксах были. Наконец-то индеец заметил, что нет одной стены. :))
	Ответить | Правка | Наверх | Cообщить модератору

	199. "Релиз ядра Linux 4.10"	+2 +/–
	Сообщение от vi (ok), 20-Фев-17, 21:40
	>[оверквотинг удален] > разрезе программ. > Впоследствии можно построить отчёт какая программа куда имеет доступ, сравнив имеющийся > доступ с минимально требуемым. Это значительно удобнее, чем осуществлять контроль прав > в разрезе пользователей или групп пользователей. > В новых версиях Windows есть понятие "список разрешённых программ", что позволяет создать > группы пользователей по их ролям в компании. Это позволяет централизованно (через > AD) настраивать права в соответствии с ISO 9001 (описывает кто конкретно > что конкретно делает и кто конкретно за что конкретно отвечает). > Не уверен, что Линукс даже близко к этому подошёл. На мой взгляд, > он идёт совсем в другом направлении. У вас там еще в текстовом процессоре нет настройки "Кому какие символы можно печатать"? Я рад, что вы даже близко к этому не подошли. Но первый_московский_дурдом уже вздрогнул ;)
	Ответить | Правка | К родителю #162 | Наверх | Cообщить модератору

	230. "Релиз ядра Linux 4.10"	+1 +/–
	Сообщение от Анонимм (??), 21-Фев-17, 00:30
	Не уверен - не срывай. Попутно же можно загуглить как мракософт меняет позу своего поделия в попытках заявить, что оно умеет Docker _не хуже_ Линукса. Причём, они пихают туда целое линух ядро - иначе ж никак. А куда подошёл Линукс - можно почитать на сайте docker.com Там есть и про отдельные сетки для отдельных [множеств] программ (включая роутинг и фаерволл), про любой дистр для любой проги, про отдельные адресные пространства файловых систем (чтобы прога видела только те файлы, что нужны для её работы) и много ещё чего. У меня уже больше половины GUI-шных программ ходят в нет из своих отдельных контейнеров (причём, фаерволом расписано какой и куда можно), включая браузеры (да, их много и разных). И что-то мне думается, что в этом направлении закрытый стул-софт (опеннент не даёт это правильно назвать) не пойдёт никогда - напросто жаба задавит позволять юзерам пускать свои облицензённые со всех сторон ОСи в любом количестве с такими гибкими настройками на одном железе.
	Ответить | Правка | К родителю #162 | Наверх | Cообщить модератору

	261. "Релиз ядра Linux 4.10"	–2 +/–
	Сообщение от Аноним (-), 21-Фев-17, 10:16
	>больше половины GUI-шных программ ходят в нет из своих отдельных контейнеров Тебе есть куда стремиться - в системе еще дофига файлов, как рассадишь каждый в свой контейнер, тут и наступит лепота и Сингулярность. Это ж насколько тяжелое поражение мозга надо иметь, чтобы столь очевидные костыли выдавать за нормальное положение вещей. Никогда никакие песочницы-виртуалки-контейнеры не компенсируют продолб в архитектуре, если это не очевидно - медицина тут бессильна. Это общая беда всего маргинального IT - превращать (точнее пытаться превратить) костыли, вожможно и актуальные в частном каком-то случае, в системный подход.
	Ответить | Правка | Наверх | Cообщить модератору

	264. "Релиз ядра Linux 4.10"	–2 +/–
	Сообщение от Анонимм (??), 21-Фев-17, 10:28
	> Это общая беда всего маргинального IT - превращать (точнее > пытаться превратить) костыли, вожможно и актуальные в частном каком-то случае, в > системный подход. Расскажите это микроядерщикам. Там тоже всякий чих - в отдельном адресном пространстве. Да, Таненбаум был прав. И счас жизнь дожимает всё изолировать и отгораживать. Да, всякие анонимные режимы в браузерах - это тот же тренд. А ещё в фаерфоксе где-то читал запилили тестовую фичу ограждения множеств вкладов друг от друга. Представляете какие "идиоты", ерундой какой занимаются! Но внезапно оказалось, что утечка данных из одной вкладки в другую может обернуться колосальными материальными или моральными потерями для пользователя... Информационная безопасность называется. Добро пожаловать в реальный мир.
	Ответить | Правка | Наверх | Cообщить модератору

	301. "Релиз ядра Linux 4.10"	+1 +/–
	Сообщение от Аноним (-), 22-Фев-17, 02:24
	>[оверквотинг удален] >>> другой - только в локалку, а третьей вообще только на локалхост" >>> встречаются в продакшене сплошь и рядом. >>> И в линухе они либо не решаемы вообще, либо костылями ... >> ... можно почитать на сайте docker.com >> Там есть и про отдельные сетки для отдельных [множеств] программ (включая роутинг и фаерволл), >> ... про отдельные адресные пространства файловых систем > Тебе есть куда стремиться - в системе еще дофига файлов, как рассадишь > каждый в свой контейнер, тут и наступит лепота и Сингулярность. > Это ж насколько тяжелое поражение мозга надо иметь, чтобы столь > очевидные костыли выдавать за нормальное положение вещей. Уважаемый Аноним, так это хорошо, или плохо что можно каждую программу отдельно ограничивать?
	Ответить | Правка | К родителю #261 | Наверх | Cообщить модератору

	313. "Релиз ядра Linux 4.10"	–1 +/–
	Сообщение от Аноним (-), 22-Фев-17, 08:47
	Это хорошо и полезно в некоторых случаях, но всех по контейнерам не рассадишь.
	Ответить | Правка | Наверх | Cообщить модератору

	315. "Релиз ядра Linux 4.10"	+/–
	Сообщение от Andrey Mitrofanov (?), 22-Фев-17, 09:55
	>в некоторых случаях, но всех по контейнерам не рассадишь. Да!1 Тюрьмы ж не резиновые.
	Ответить | Правка | К родителю #313 | Наверх | Cообщить модератору

	316. "Релиз ядра Linux 4.10"	+/–
	Сообщение от Анонимм (??), 22-Фев-17, 10:12
	> Это хорошо и полезно в некоторых случаях, но всех по контейнерам не > рассадишь. Например, что принципиально невозможно ограничить лишь ему нужными файлами и или сеткой и/или множеством процессов? (/sbin/init - у него просто будет особая роль: всё смортировать, поднять сетку и запустить докер; причём, подобные дистры уже есть, типа CoreOS)
	Ответить | Правка | К родителю #313 | Наверх | Cообщить модератору

	161. "Релиз ядра Linux 4.10"	+/–
	Сообщение от Аноним (-), 20-Фев-17, 18:23
	>> кто даст гарантию, что это действительно то приложение с тем функционалом, которому эти права давались? или фаервол по твоему еще должен за хешами бинарников следить? > Именно поэтому он работает в разрезе программ. Даже если файл программы изменился, > она не получит больше прав, чем ей было изначально необходимо. лол, так а если этих прав уже достаточно для нанесения вреда? понадеялись на то, что программа не может ничего сделать, я подменяю бинарник - и всё, защита что есть что нет. Не вижу преимуществ у такого подхода, одни недостатки
	Ответить | Правка | К родителю #151 | Наверх | Cообщить модератору

	171. "Релиз ядра Linux 4.10"	–1 +/–
	Сообщение от Аноним (-), 20-Фев-17, 18:54
	>я подменяю бинарник Проблемы безопасности доступа к файлу это не проблема файрволла. Кроме того, никто не запрещает написать файрволл, который бы сверял цифровую подпись приложения, контрольные суммы и т.п. Факт в том, что нет никаког фундамента. Одни отмазки. Потому что это ж виндовая тема. А значит ататата по определению это плохо. Детсад.
	Ответить | Правка | Наверх | Cообщить модератору

	266. "Релиз ядра Linux 4.10"	+/–
	Сообщение от Аноним (-), 21-Фев-17, 10:52
	> Проблемы безопасности доступа к файлу это не проблема файрволла. Кроме того, никто не запрещает написать файрволл, который бы сверял цифровую подпись приложения, контрольные суммы и т.п. вот про это я и говорю. защита по сути бесполезна, т.к. работает ТОЛЬКО в комплексе с другими мерами. При этом малейшая ошибка в организации "других мер" и защита полностью недееспособна. И какой смысл тогда городить весь этот огород? Нужно тебе запретить ПОЛЬЗОВАТЕЛЮ доступ к какому-то ресурсу - запрещай. А запрещать доступ одной программе и разрешать другой - идиотизм. > Факт в том, что нет никаког фундамента. Одни отмазки. Потому что это ж виндовая тема. А значит ататата по определению это плохо. Детсад. Т.е. чужие аргументы ты в принципе не воспринимаешь?
	Ответить | Правка | Наверх | Cообщить модератору

	284. "Релиз ядра Linux 4.10"	–1 +/–
	Сообщение от Аноним (-), 21-Фев-17, 15:12
	>защита по сути бесполезна, т.к. работает ТОЛЬКО в комплексе с другими мерами. И зачем во всяких там армиях и спецурах таскают всякие шлемы и броники. Можно ж в ногу стрелять, которая зашищена лишь тонкой хебешкой. Дураки, наверное. Внезапно, ВСЯ защита такая. И от сигнализации мало толку будет, если ты банально не запираешь дверь. Из того, что идельная и абсолютная защита от всего недостижима, никак не следует, что никакая не нужна. >Нужно тебе запретить ПОЛЬЗОВАТЕЛЮ доступ к какому-то ресурсу - запрещай. А то, что на компе может быть не один пользователь - тебе не приходило в голову? Тогда весть о том, что корпоративная политика может предусматривать использование одного софта для внешних ресурсов, и другого - для интрасети, вообще сорвет твою неокрепшую крышу? >А запрещать доступ одной программе и разрешать другой - идиотизм. Нонеча программы шибко умные пошли. Лезут куда не надо безо всякого участия какого-либо пользователя.
	Ответить | Правка | Наверх | Cообщить модератору

	326. "Релиз ядра Linux 4.10"	+/–
	Сообщение от Аноним (-), 22-Фев-17, 14:47
	https://shiftordie.de/blog/2013/11/12/http-over-x509-revisited/ Статья старая, однако, какой вектор атаки! Простой значится почтовик превращается в сканер портов. При этом ЛИЧНО ты о таких вещах не узнаешь, если не ковыряешь используемый софт на 200%. Либо, пока кто-то не расскажет. Если не умеешь в инглиш, то пересказ статьи сводится к тому, что для S/MIME (RFC 5280) имеется опция, когда можно заставить приложение выполнять вслепую HTTP-запросы для проверки сертификата. К счастью, умея делать запросы на основании разницы промежутка ответов для открытых/закрытых портов можно выяснить внутреннюю топологию сети. Не надо лялякать, что это проблема только MS. Найдется другой софт, опенсорсный, где будет что-то аналогичное. И вот без исследования всех таких тонкостей ты можешь сколько угодно говорить об "защита по сути бесполезна, т.к. работает ТОЛЬКО в комплексе с другими мерами". Твою сеть просканили. А ты только и делаешь, что ляля про "комплекс мер". Нихера ты не безопасник, раз исключаешь меры по принципу их "комплексности". Или черт знает, что ты имел ввиду.
	Ответить | Правка | К родителю #266 | Наверх | Cообщить модератору

	328. "Релиз ядра Linux 4.10"	+/–
	Сообщение от Аноним (-), 22-Фев-17, 15:32
	Свежая атака на Python: http://www.itworld.com/article/3172604/security/java-and-pyt...
	Ответить | Правка | Наверх | Cообщить модератору

	154. "Релиз ядра Linux 4.10"	+/–
	Сообщение от Аноним (-), 20-Фев-17, 17:41
	А что такое "одна прога"? Вы как её уникально идентифицировать собрались? Ц:\Program Files\abc\qaz.exe? А если я вирус, и скопировал её в другое место? Может по хэшу?
	Ответить | Правка | К родителю #125 | Наверх | Cообщить модератору

	156. "Релиз ядра Linux 4.10"	+3 +/–
	Сообщение от Аноним (-), 20-Фев-17, 17:46
	>> "разрешить одной проге ходить в инет на один определенный адрес, другой - только в локалку, а третьей вообще только на локалхост" Похоже, что это локалхостство. Если у вас есть какие-никакие севера, то они разделены или уж группами, или в них чувствительные к компрометации сервисы засунуты в lxc/jail/docker/chooseyourisolationtechnology и дальше уж разруливайте как хотите. А пока верните аванс Майкрософту - не отработали.
	Ответить | Правка | К родителю #125 | Наверх | Cообщить модератору

	127. "Релиз ядра Linux 4.10"	+/–
	Сообщение от Crazy Alex (ok), 20-Фев-17, 16:27
	В такой постановке задача вообще решается в юзерспейсе построением маппинга "путь - pid" при запуске процесса, скажем, на уровне glibc. Другое дело, что оно на фиг не нужно, а что нужно - это ещё аккуратно сформулировать надо. Насчёт модифицируемых путей - чушь, конечно. В /proc/<pid>exe будет линк на запущенный файл. Даже удалённый, он будет доступен. P.S. А что, в BSD я не смогу собрать исполняемый файл, запустить его и удалить? Что-то не верится.
	Ответить | Правка | К родителю #99 | Наверх | Cообщить модератору

	136. "Релиз ядра Linux 4.10"	+/–
	Сообщение от Аноним (-), 20-Фев-17, 16:40
	>/proc/<pid>exe А что будет если удалить файл знаешь? >А что, в BSD я не смогу собрать исполняемый файл, запустить его и удалить? Что-то не верится. Можешь. Я говорил про то, что оригинальный путь всегда известен, даже если сделать удаление. Хинт в решение задачи выше ^^^^.
	Ответить | Правка | Наверх | Cообщить модератору

	155. "Релиз ядра Linux 4.10"	+/–
	Сообщение от Аноним (-), 20-Фев-17, 17:41
	> А что будет если удалить файл знаешь? К имени файла симлинке добавится (deleted), содержимое файла останется доступным.
	Ответить | Правка | Наверх | Cообщить модератору

	176. "Релиз ядра Linux 4.10"	+/–
	Сообщение от Crazy Alex (ok), 20-Фев-17, 19:36
	Именно
	Ответить | Правка | Наверх | Cообщить модератору

	185. "Релиз ядра Linux 4.10"	–2 +/–
	Сообщение от Аноним (-), 20-Фев-17, 20:15
	Беда-печаль. Держи веселый код: unlink (argv[0]); prctl (PR_SET_DUMPABLE, 0UL, 0, 0, 0); char proc_exe[PATH_MAX]; sprintf (proc_exe, "/proc/%d/exe", getpid()); unlink(proc_exe); И, собственно, в чем прелесть BSD? В том, что даже с таким извращением из таблицы процессов (они в памяти ядра, а не в псевдо-фс) ТОЧНО известно откуда был запущен файл. Самое смешное, что 4.1.20-0-grsec не спросил CAPABILITY на PR_SET_DUMPABLE и тупо позволил снести архиважный файл /proc/pid/exe. Про то, что содержание файла останется и читабельно... ну, ребята, это не смешно. Не стану унижать, может вы имели в виду, что inode файла как бы еще открыт (а значит не будет очищен фс) и доступен... А по мне, вы просто нифига не знаете. Без обид. Ну, такие вещи не знать =\
	Ответить | Правка | Наверх | Cообщить модератору

	194. "Релиз ядра Linux 4.10"	+/–
	Сообщение от Crazy Alex (ok), 20-Фев-17, 21:11
	И что, по-твоему, должен сделать этот пример? Удалить файл? Да вперёд, имеет полное право. /proc/pid/exe как был, так и есть, и доступен для чтения. И именно это мы и имели в виду, что не только инод открыт, но известен путь в FS (тот самый /proc/<pid>/exe), по которому можно получить содержимое и, скажем, проверить подпись или контрольную сумму посчитать. Что ещё надо-то?
	Ответить | Правка | Наверх | Cообщить модератору

	231. "Релиз ядра Linux 4.10"	+/–
	Сообщение от Анонимм (??), 21-Фев-17, 00:38
	> sprintf (proc_exe, "/proc/%d/exe", getpid()); > unlink(proc_exe); $ rm -f /proc/self/exe rm: невозможно удалить '/proc/self/exe': Отказано в доступе uname -r: 4.4.x
	Ответить | Правка | К родителю #185 | Наверх | Cообщить модератору

	241. "Релиз ядра Linux 4.10"	–1 +/–
	Сообщение от Аноним (-), 21-Фев-17, 05:57
	>$ rm -f /proc/self/exe Иди читай ман. Ты вообще код прочитал?! Ты прочитал или выскочил выи***тся? Что ты доказал? Что ты хотел показать? Иди в ЛОР и там показывай какой ты крутой. Тут ты пока выглядишь дураком.
	Ответить | Правка | Наверх | Cообщить модератору

	263. "Релиз ядра Linux 4.10"	+2 +/–
	Сообщение от Анонимм (??), 21-Фев-17, 10:21
	>>$ rm -f /proc/self/exe > Иди читай ман. А... сердешный, то-то я смотрю у Вас таких нет... следовательно не знаете На случай, если Вы где что пользуете, где в procfs нет симлинки "self" на свой PID, просвещу (ибо, выходит, Вам даже это в манах почитать негде) $ ls -l /proc/self lrwxrwxrwx 1 user user x xxx xx xx:xx /proc/self -> 26558 $ ls -l /proc/self lrwxrwxrwx 1 user user x xxx xx xx:xx /proc/self -> 27831 $ ls -l /proc/self lrwxrwxrwx 1 user user x xxx xx xx:xx /proc/self -> 27848 Да, представляете, в линухе "self" в корне procfs всегда указывает на диру самого же процесса. Да, сам procfs за меня за ленивого вызывает getpid() и вкладывает в уста "self" результат соответствующего sprintf(). А потому, /proc/self/xxx - это всегда именно свои файлы, собственного процесса. > Ты вообще код прочитал?! И даже больше, скомпилил (представляешь, кто-то кроме тебя это тоже умеет). Немного strace'а: unlink("./test")                        = 0 prctl(PR_SET_DUMPABLE, 0)               = 0 getpid()                                = 25269 unlink("/proc/25269/exe")               = -1 EACCES (Permission denied) > Ты прочитал или выскочил выи***тся? Встречный вопрос. Расписанный Вами "ужос" удаления действительно нужного файла из procfs не подтверждается. Какой вывод? > Тут ты пока выглядишь дураком. И что же такого прям дурного я написал? Что такого умные завсегдатаи скрывают в своих тайных манах?
	Ответить | Правка | Наверх | Cообщить модератору

	268. "Релиз ядра Linux 4.10"	+/–
	Сообщение от Анонимм (??), 21-Фев-17, 11:30
	>>$ rm -f /proc/self/exe > Иди читай ман. Ты вообще код прочитал?! Ты прочитал или выскочил выи***тся? > Что ты доказал? Что ты хотел показать? Иди в ЛОР и > там показывай какой ты крутой. Тут ты пока выглядишь дураком. Я понял чё это Вы так взъерошились на других. Во бзде, оказывается по умолчанию этого нету... Поставил счас в вбокс глянуть что ж оно там щас из себя представляет (давно уж не счупал). И да: # ls -l /proc total 0 Всё ясно. Но стоит лишь подгрузить procfs и замонтировать его в /proc - то всё там практически так же, чуть называется по-другому: # ls -l /proc/curproc r--r--r--  1 root wheel  0 Feb 21 08:25 /proc/curproc -> 986 # ls -l /proc/curproc r--r--r--  1 root wheel  0 Feb 21 08:25 /proc/curproc -> 987 # ls -l /proc/curproc r--r--r--  1 root wheel  0 Feb 21 08:25 /proc/curproc -> 990 # ls -l /proc/curproc/file r--r--r--  1 root wheel  0 Feb 21 08:25 /proc/curproc/file -> /bin/ls И тоже - вполне логично - не удаляется (хоть и по другим причинам): # rm /proc/curproc/file rm /proc/curproc/file: Operation not supported
	Ответить | Правка | К родителю #241 | Наверх | Cообщить модератору

	327. "Релиз ядра Linux 4.10"	–1 +/–
	Сообщение от Аноним (-), 22-Фев-17, 14:58
	> Я понял чё это Вы так взъерошились на других. > Во бзде, оказывается по умолчанию этого нету... Во-первых, признаю свой косяк с /proc/pid/exe. Действительно, procfs монтируется по правам 05xx (где x это 5 или 0). И симлинк на exe невозможно удалить и модифицировать в таком случае. Да, бывает проглядел вывод ls и отписался сгоряча. Звиняйте. Во-вторых, в бзд таблица процессов находится в другом месте. Не procfs. Там и top работает по-другому. Мой наезд был на линукс в том плане, что без procfs утилиты вроде top, да и само ядро не узнают путь до бинарника. В бзде это зашивается во внутренную таблицу процессов, при этом путь этот никак не изменить, а все что можно изменить через, скажем, argv[0] - лишь копия, а оригинал можно легко вывести через ps(1) или top(1). В-третьих, не надо думать, что я совсем идиот и не знаю про /proc/self -- для дебага этот /proc/self на*** не сдался: getpid() нужно смотреть, так пусть тестовая прога его печатает  сама. Итого. В линуксе без procfs эта информация [о пути] _нигде_ не хранится. Да, систем без procfs можно сказать не бывает (ТМ). И тем не менее, procfs это лишь опция, которую можно вырезать из ядра и тогда оно превращается в биомассу. В отличие от бзди, где это прописано в ... недра. Всё, вопрос про /proc/pid/exe закрываем. Хотя есть ряд вопросов по поводу '(deleted)'. Будет время -- поковыряю. Вот интересно, что будет при пути бинарника длиной PATH_MAX-1. Куда припишится '(deleted)'? :)
	Ответить | Правка | Наверх | Cообщить модератору

	333. "Релиз ядра Linux 4.10"	+1 +/–
	Сообщение от Анонимм (??), 22-Фев-17, 23:28
	> Звиняйте. Ничё, бывает. Я вон дальше по треду разошёлся, что ld.so загрузчик может грузить бинарии с noexec дир и только потом попробовал на практике - оказалось, что уже не может, в glibc прикрыли. > Мой наезд был на линукс в том > плане, что без procfs утилиты вроде top...не узнают путь до бинарника. Да, top требует для работы чтоб 'proc' (не 'procfs', к слову, но мелочи) был замонтирован в /proc > да и само ядро не узнают путь до бинарника. Даже не знаю откуда у Вас такие заблуждения (неужели так сложно исходники открыть, прежде чем делать такие выводы на публику?) Линух 4.4.x Смотрим структуру задачи-потока на юзер-левеле (task_struct). В процессе их может быть N+1, но тогда у всех них одна и та же память (т.е. указатель на "struct mm_struct *mm") include/linux/sched.h:    struct task_struct {     ...     struct mm_struct *mm,     ...    } include/linux/mm_types.h:    struct mm_struct {     ...     struct file __rcu *exe_file     ...    } И эти места в коде не обусловлены никакими #ifdef, т.е. от опций сборки не зависят. Т.е. ядро всегда знает каков бинарь у процесса. А файловая система 'proc' - просто использует эти данные, будучи настройкой. $ grep CONFIG_PROC_FS /boot/config-4.4.0-64-lowlatency CONFIG_PROC_FS=y которая да, чаще всего включена (хотя на суперограниченных встроенных системах это можно и убрать). > В бзде это зашивается во внутренную таблицу процессов Ну выше видите: в Линухе тоже. (даже не пойму: с какой стати доставать ТАКУУУЮ огромную шашку против устройства Линуха, реально не смотрев его изнутри? Берёте на понт? - так упенсурс же, все могут проверить...) > при этом путь этот никак не изменить, а все > что можно изменить через, скажем, argv[0] - лишь копия, а оригинал > можно легко вывести через ps(1) или top(1). Ну то же и в пингвине. Оригинал никуда не спрятать. И? "Во-вторых" ушло пока что вникуда. > В-третьих, не надо думать, что я совсем идиот И заметьте, не я это произнёс... > и не знаю про > /proc/self -- для дебага этот /proc/self на*** не сдался: getpid() нужно > смотреть, так пусть тестовая прога его печатает  сама. Да пусть. Если Вам так уж принципиально лично вызвать getpid(), а не через ФС 'proc'. > Итого. В линуксе без procfs эта информация [о пути] _нигде_ не хранится. См. выше и читайте прежде, чем говорить. > Да, систем без procfs можно сказать не бывает (ТМ). И тем > не менее, procfs это лишь опция, которую можно вырезать из ядра > и тогда оно превращается в биомассу. Какие-то далёкие от техники алегории... И без PROC_FS ядро будет прекрано осведомлено кто откуда запущен. И что-то набиомассу здесь активно начинает претендовать кто-то другой... > В отличие от бзди, где это прописано в ... недра. Да, внутренние файлики ядра и структуры данных называются по-разному. И всё отличие в этом вопросе. > Всё, вопрос про /proc/pid/exe закрываем. Да пожалуйста. Пофантазировали на тему Линукса и в люлю. Что-то для осознающего свою правоту Вы несколько эмоциональны. К чему бы это? Или лавры Линуха на пингвине не дают покоя демону? В бзд как-то гениально размещена таблица процесов? - нет а в линухе? - тоже нет. Размещена и размещена. > Хотя есть ряд вопросов по поводу '(deleted)'. > Будет время -- поковыряю. Ага! Обос*ать время есть, и прямо сейчас, а поднять достоверную инфу пока времени не было :) Классика. Держите, Вам для затравочки: запущен sleep (PID 14281) а от рута делаем следующее: # l /proc/14281/exe lrwxrwxrwx 1 user user 0 фев 22 xx:09 /proc/14281/exe -> /bin/sleep # mv /bin/sleep /bin/sleep1 # l /proc/14281/exe lrwxrwxrwx 1 user user 0 фев 22 xx:09 /proc/14281/exe -> /bin/sleep1 Мож натолкнёт на какие мысли. > Вот интересно, что будет при пути бинарника > длиной PATH_MAX-1. Куда припишится '(deleted)'? :) Досрочный ответ: выдача пути с приписанным '(deleted)' не ограничивается PATH_MAX'ом, а просто размером переданного буфера. Просто вообще не очень ясно в чём собсно, проблема. Знать откуда был запущен процесс - ну хорошо. Структура списка процесов в Линухе покажет переименованный или удалённый путь бинаря. Но если у кого есть право удалять/переименовывать и запускать бинари - то это уже неслабый доступ. И если стоит задача наблюдать активность юзерей аж с таким уровнем доступа - то подсистема audit Вам в руки. Там каждый чих пишется: кто чего куда. Как по мне, довольно логично: дефолтный уровень секурити - таков, надо больше - бери больше инструментов (поставить/запустить тот же auditd). Или всё сразу должно быть из коробки, невзирая надо оно или просто память жрёт? А если аналогичных инструментов не один? Возможность выбора можно считать плюсом или минусом? (необходимость думать и осознанно выбирать - тоже кому-то будет в минус)
	Ответить | Правка | К родителю #327 | Наверх | Cообщить модератору

	334. "Релиз ядра Linux 4.10"	+/–
	Сообщение от Анонимм (??), 23-Фев-17, 00:34
	И кстати, о безопасности. Если же знанием о файле запуска бинаря Вы планируете закрыть какой-либо из возможных т.н. "векторов атаки", типа, когда через дырь заливается и запускается бинарь, висит и внаглую слушает порт. А Вы его планируете "опа" - и посмотреть куда он был залит, и, воможно, это бы указало на след. пролома в защите. Но есть один момент. Если сей процесс хотя бы просто себя скопирует в менее "подсказочное" место и сделает оттуда же ещё раз exec() - то всё, все плюсы знания об источнике запуска бинаря зануляются. Так что, если есть желание иметь достаточную инфу для анализа взломов - то придётся много логировать, вести аудит действий, чтобы все [стрёмные] exec()и писались.
	Ответить | Правка | К родителю #333 | Наверх | Cообщить модератору

	337. "Релиз ядра Linux 4.10"	–1 +/–
	Сообщение от Аноним (-), 23-Фев-17, 10:12
	Надоело спорить, у тебя слишком много повторяющейся простыни. Почитай man 2 prctl PR_SET_MM_EXE_FILE для интереса. Ты отчасти прав и не прав, есть еще копия exe_file в виде vm_file. Ни к exe_file, ни к vm_file API нет. Все через procfs.
	Ответить | Правка | К родителю #333 | Наверх | Cообщить модератору

	338. "Релиз ядра Linux 4.10"	+1 +/–
	Сообщение от Анонимм (??), 23-Фев-17, 11:11
	> Надоело спорить Дело сугубо добровольное. Но лично мне было полезно. > Почитай man 2 prctl PR_SET_MM_EXE_FILE для интереса. О как. Спасибо за наводку. > Ты отчасти прав и не прав, есть еще > копия exe_file в виде vm_file. Ни к exe_file, ни к vm_file > API нет. Все через procfs. Да, ФС proc нужна для посчупать процессы. Такой дизайн. Все разные, не обязательно же следовать какому-то древнему принципу в каком-то одном из юниксов.
	Ответить | Правка | К родителю #337 | Наверх | Cообщить модератору

	226. "Релиз ядра Linux 4.10"	+/–
	Сообщение от Аноним (-), 20-Фев-17, 23:40
	>отому что GNU/Linux не сохраняет нигде пути до экзешника и сам экзешник может быть удален напрочь (в отличие от винды, где это невозможно). Более того, места где сохраняется путь -- модифицируемы, что ведет к тому, что процесс невозможно отследить как надо. Capabilities? Не, не слышал. А привязыввается оно не к путям файлов, а к метаданным файла. И поэтому пофиг, куда там исполняемый файл переместили.
	Ответить | Правка | К родителю #99 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема