Tu tappes /bin/su
Le shell lit ça comme /bin/su
Le shell fait un execve("/bin/su", ...);
Mais qui est "le shell" ici ? Tu suppose que c'est bash, ou ton shell favori, mais qui te l'assure ? Qui a lancé ce shell ? L'icône « terminal » dans une barre des tâches KDE/Gnome/autre ? Tu es _sur_ que ça lance bien un bash ? L'attaquant peut tout à fait aller modifier la config de ton environnement de bureau pour lancer un shell bidon à la place du tiens (ou alors faire un "exec shell-bidon" dans ton ~/.profile), ou comme dit plus bas faire un coup de LD_PRELOAD pour redéfinir execvp par exemple. C'est pas trivial à faire, mais pas impossible non plus.
Et d'ailleurs, une fois /bin/su lancé, même si c'est le bon, y a-t-il un keylogger sur ta machine ?
À partir du moment où ton compte est compromis, et si l'attaquant est un peu dégourdi, tu ne peux plus compter sur rien dans ce que tu fais à partir de ce compte.
Sur une machine perso, sur laquelle l'utilisateur tape le mot de passe root de temps en temps, entre le moment où le compte utilisateur est compromis et le moment où le système est compromis, ce n'est qu'une question de temps et de persévérance.
[^] # Re: Les virus sous linux existent
Posté par Matthieu Moy (site web personnel) . En réponse au journal SFR, Neuf et Linux. Évalué à 8.
Le shell lit ça comme /bin/su
Le shell fait un execve("/bin/su", ...);
Mais qui est "le shell" ici ? Tu suppose que c'est bash, ou ton shell favori, mais qui te l'assure ? Qui a lancé ce shell ? L'icône « terminal » dans une barre des tâches KDE/Gnome/autre ? Tu es _sur_ que ça lance bien un bash ? L'attaquant peut tout à fait aller modifier la config de ton environnement de bureau pour lancer un shell bidon à la place du tiens (ou alors faire un "exec shell-bidon" dans ton ~/.profile), ou comme dit plus bas faire un coup de LD_PRELOAD pour redéfinir execvp par exemple. C'est pas trivial à faire, mais pas impossible non plus.
Et d'ailleurs, une fois /bin/su lancé, même si c'est le bon, y a-t-il un keylogger sur ta machine ?
À partir du moment où ton compte est compromis, et si l'attaquant est un peu dégourdi, tu ne peux plus compter sur rien dans ce que tu fais à partir de ce compte.
Sur une machine perso, sur laquelle l'utilisateur tape le mot de passe root de temps en temps, entre le moment où le compte utilisateur est compromis et le moment où le système est compromis, ce n'est qu'une question de temps et de persévérance.