https://www.opennet.ru/openforum/vsluhforumID3/72094.html С целью избавления системы от программ с suid-битом, можно использовать следующую инструкцию.<br>Для привязки capabilities к исполняемому файлу используется утилита setcap из пакета libcap2-bin:<br><br> sudo apt-get install libcap2-bin<br><br>Для формирования списка setuid-root и setgid-root программ можно использовать следующие команды:<br><br> find /bin /sbin /lib /usr/bin /usr/sbin /usr/lib -perm /4000 -user root<br> find /bin /sbin /lib /usr/bin /usr/sbin /usr/lib -perm /2000 -group root<br><br>Команды для замены setuid/setgid для базовых пакетов:<br><br>coreutils<br><br> chmod u-s /bin/su<br> setap cap_setgid,cap_setuid+ep /bin/su<br><br>dcron<br><br> chmod u-s /usr/bin/crontab<br> setcap cap_dac_override,cap_setgid+ep /usr/bin/crontab<br><br>inetutils<br><br> chmod u-s /usr/bin/rsh<br> setcap cap_net_bind_service+ep /usr/bin/rsh<br><br> chmod u-s /usr/bin/rcp<br> setcap cap_net_bind_service+ep /usr/bin/rcp<br><br> chmod u-s /usr/bin/rlogin<br> setcap cap_net_bind_service+ep /usr/bin/rlogin<br><br>iputils<br><br> chmod u-s /bin/ping<br> setcap c https://www.opennet.ru/openforum/vsluhforumID3/72094.html#4 Sun, 19 Jan 2014 22:41:08 GMT По-хорошему, выполнение большинства из этих задач от имени пользователя root является более безопасным, поскольку в данном случае происходит дополнительная изоляция процесса, обладающего повышенными привелегиями, и лишение пользователя контроля над этим процессом.<br> https://www.opennet.ru/openforum/vsluhforumID3/72094.html#3 Mon, 08 Nov 2010 19:19:01 GMT &gt; дает возможность пользователям монтировать <br>&gt; файловые системы к которым они не имеют доступа<br><br>О как. Т.е. возможен еще и даунгрейд секурити таким макаром :)<br> https://www.opennet.ru/openforum/vsluhforumID3/72094.html#2 Sun, 07 Nov 2010 16:25:38 GMT а зачем это надо, если остаются хоть какие-то setuid-битные файлы?<br> https://www.opennet.ru/openforum/vsluhforumID3/72094.html#1 Thu, 04 Nov 2010 20:11:56 GMT setcap cap_chown,cap_dac_override,cap_sys_rawio,cap_sys_admin+ep /usr/bin/Xorg<br>Это, конечно, сильно уменьшает права Х-сервера. Эксплойту будет очень сложно получить права админа.<br>