Estoy ejecutando un demonio de software que requiere que ciertas acciones ingresen una frase de contraseña para desbloquear algunas características que se ven así, por ejemplo:

$ darkcoind masternode start <mypassphrase>

Ahora tengo algunas preocupaciones de seguridad en mi servidor Debian sin cabeza.

Cada vez que busco en mi historial de bash, por ejemplo Ctrl+R, puedo ver esta contraseña súper segura. Ahora imagino que mi servidor está comprometido y algún intruso tiene acceso a shell y simplemente puede Ctrl+Rencontrar mi frase de contraseña en el historial.

¿Hay una manera de introducir la contraseña sin que se muestre en la historia bash, ps, /proco en otro sitio?

Actualización 1 : Pasar ninguna contraseña al demonio arroja un error. Esta no es una opción.

Actualización 2 : No me digas que elimine el software u otras sugerencias útiles como colgar a los desarrolladores. Sé que este no es un ejemplo de mejores prácticas, pero este software está basado en bitcoin y todos los clientes basados ​​en bitcoin son algún tipo de servidor json rpc que escucha estos comandos y es un problema de seguridad conocido que aún se está discutiendo ( a , b , c ) .

Actualización 3 : el demonio ya está iniciado y ejecutándose con el comando

$ darkcoind -daemon

Hacer psmuestra solo el comando de inicio.

$ ps aux | grep darkcoin
user     12337  0.0  0.0  10916  1084 pts/4    S+   09:19   0:00 grep darkcoin
user     21626  0.6  0.3 1849716 130292 ?      SLl  May02   6:48 darkcoind -daemon

Por lo que pasa a los comandos con la frase de contraseña no aparece en pso /procen absoluto.

$ darkcoind masternode start <mypassphrase>
$ ps aux | grep darkcoin
user     12929  0.0  0.0  10916  1088 pts/4    S+   09:23   0:00 grep darkcoin
user     21626  0.6  0.3 1849716 130292 ?      SLl  May02   6:49 darkcoind -daemon

Esto deja la pregunta ¿dónde aparece la historia? Sólo .bash_history?

Realmente, esto debería solucionarse en la aplicación misma. Y tales aplicaciones deben ser de código abierto, por lo que solucionar el problema en la aplicación en sí debería ser una opción. Una aplicación relacionada con la seguridad que comete este tipo de error también podría cometer otros errores, por lo que no confiaría en ella.

Intercalador simple

Pero pedías una forma diferente, así que aquí hay una:

#define _GNU_SOURCE
#include <dlfcn.h>

int __libc_start_main(
    int (*main) (int, char * *, char * *),
    int argc, char * * ubp_av,
    void (*init) (void),
    void (*fini) (void),
    void (*rtld_fini) (void),
    void (* stack_end)
  )
{
  int (*next)(
    int (*main) (int, char * *, char * *),
    int argc, char * * ubp_av,
    void (*init) (void),
    void (*fini) (void),
    void (*rtld_fini) (void),
    void (* stack_end)
  ) = dlsym(RTLD_NEXT, "__libc_start_main");
  ubp_av[argc - 1] = "secret password";
  return next(main, argc, ubp_av, init, fini, rtld_fini, stack_end);
}

Compila esto con

gcc -O2 -fPIC -shared -o injectpassword.so injectpassword.c -ldl

luego ejecuta tu proceso con

LD_PRELOAD=$PWD/injectpassword.so darkcoind masternode start fakepasshrase

La biblioteca de interposición ejecutará este código antes de que se ejecute la mainfunción de su aplicación. Reemplazará el último argumento de la línea de comando por la contraseña real en la llamada a main. Sin embargo, la línea de comando impresa /proc/*/cmdline(y, por lo tanto, vista por herramientas como ps) todavía contendrá el argumento falso. Obviamente, tendría que hacer que el código fuente y la biblioteca que compila de él sean legibles solo para usted, por lo que es mejor operar en un chmod 0700directorio. Y dado que la contraseña no es parte de la invocación del comando, su historial de bash también está seguro.

Intercalador más avanzado

Si desea hacer algo más elaborado, debe tener en cuenta que __libc_start_mainse ejecuta antes de que la biblioteca de tiempo de ejecución se haya inicializado correctamente. Por lo tanto, sugeriría evitar cualquier llamada a funciones a menos que sean absolutamente esenciales. Si desea poder llamar funciones al contenido de su corazón, asegúrese de hacerlo justo antes de que mainse invoque, después de que se haya realizado toda la inicialización. Para el siguiente ejemplo, tengo que agradecer a Grubermensch que señaló cómo ocultar una contraseña pasada como argumento de línea de comando que getpassme llamó la atención.

#define _GNU_SOURCE
#include <dlfcn.h>
#include <unistd.h>

static int (*real_main) (int, char * *, char * *);

static int my_main(int argc, char * * argv, char * * env) {
  char *pass = getpass(argv[argc - 1]);
  if (pass == NULL) return 1;
  argv[argc - 1] = pass;
  return real_main(argc, argv, env);
}

int __libc_start_main(
    int (*main) (int, char * *, char * *),
    int argc, char * * ubp_av,
    void (*init) (void),
    void (*fini) (void),
    void (*rtld_fini) (void),
    void (* stack_end)
  )
{
  int (*next)(
    int (*main) (int, char * *, char * *),
    int argc, char * * ubp_av,
    void (*init) (void),
    void (*fini) (void),
    void (*rtld_fini) (void),
    void (* stack_end)
  ) = dlsym(RTLD_NEXT, "__libc_start_main");
  real_main = main;
  return next(my_main, argc, ubp_av, init, fini, rtld_fini, stack_end);
}

Esto solicita la contraseña, por lo que ya no tendrá que mantener en secreto la biblioteca de interposición. El argumento del marcador de posición se reutiliza como solicitud de contraseña, así que invoque esto como

LD_PRELOAD=$PWD/injectpassword.so darkcoind masternode start "Password: "

Otra alternativa sería leer la contraseña de un descriptor de archivo (como, por ejemplo, gpg --passphrase-fddoes), o de x11-ssh-askpass, o lo que sea.

No es solo la historia. También se mostrará en la salida ps .

Quien escribió esa pieza de software debe ser colgado, dibujado y descuartizado. Es un NO absoluto tener que proporcionar una contraseña en la línea de comandos independientemente del software que sea.
Para un proceso de demonio es aún MÁS imperdonable ...

Además de rm -f en el software en sí, no conozco ninguna solución para esto. Honestamente: encuentre otro software para hacer el trabajo. No uses tanta basura.

Esto borrará la pssalida.

Tenga mucho cuidado : esto podría romper la aplicación. Estás debidamente advertido de que aquí hay dragones.

• Los procesos extraños no deberían estar jugando en una memoria de procesos.
• Si el proceso se basa en esta región para la contraseña, puede romper su aplicación.
• Hacer esto podría corromper cualquier dato de trabajo que tenga en ese proceso.
• Este es un truco loco.

Ahora se le notifica debidamente de estas advertencias nefastas. Esto borrará la salida que se muestra en ps. No borrará su historial, ni borrará el historial de trabajo bash (como ejecutar el proceso como myprocess myargs &). Pero psya no mostrará los argumentos.

#!/usr/bin/python
import os, sys
import re

PAGESIZE=4096

if __name__ == "__main__":
  if len(sys.argv) < 2:
    sys.stderr.write("Must provide a pid\n")
    sys.exit(1)

  pid = sys.argv[1]

  try:
    cmdline = open("/proc/{0}/cmdline".format(pid)).read(8192)

    ## On linux, at least, argv is located in the stack. This is likely o/s
    ## independent.
    ## Open the maps file and obtain the stack address.
    maps = open("/proc/{0}/maps".format(pid)).read(65536)
    m = re.search('([0-9a-f]+)-([0-9a-f]+)\s+rw.+\[stack\]\n', maps)
    if not m:
      sys.stderr.write("Could not find stack in process\n");
      sys.exit(1)

    start = int("0x"+m.group(1), 0)
    end = int("0x"+m.group(2), 0)

    ## Open the mem file
    mem = open('/proc/{0}/mem'.format(pid), 'r+')
    ## As the stack grows downwards, start at the end. It is expected
    ## that the value we are looking for will be at the top of the stack
    ## somewhere
    ## Seek to the end of the stack minus a couple of pages.
    mem.seek(end-(2*PAGESIZE))

    ## Read this buffer to the end of the stack
    stackportion = mem.read(8192)
    ## look for a string matching cmdline. This is pretty dangerous.
    ## HERE BE DRAGONS
    m = re.search(cmdline, stackportion)
    if not m:
      ## cause this is an example dont try to search exhaustively, just give up
      sys.stderr.write("Could not find command line in the stack. Giving up.")
      sys.exit(1)

    ## Else, we got a hit. Rewind our file descriptor, plus where we found the first argument.
    mem.seek(end-(2*PAGESIZE)+m.start())
    ## Additionally, we'll keep arg0, as thats the program name.
    arg0len = len(cmdline.split("\x00")[0]) + 1
    mem.seek(arg0len, 1)

    ## lastly overwrite the remaining region with nulls.
    writeover = "\x00" * (len(cmdline)-arg0len)
    mem.write(writeover)

    ## cleanup
    mem.close()

  except OSError, IOError:
    sys.stderr.write("Cannot find pid\n")
    sys.exit(1)

Invoque el programa guardándolo chmod +x. Luego, ./whatever <pidoftarget> si esto funciona, no producirá salida. Si falla, se quejará de algo y renunciará.

¿Puede pasar el argumento desde un archivo, accesible solo por root o por el usuario requerido?

Es un ENORME no-no escribir contraseñas en la consola, pero el último recurso ... comience su línea con un espacio para que no aparezca en el historial.

Quizás esto funciona (?):

darkcoind masternode start `cat password.txt`

Desafortunadamente, si su darkcoindcomando espera la contraseña como un argumento de línea de comando, se expondrá a través de utilidades como ps. La única solución real es educar a los desarrolladores .

Si bien la psexposición puede ser inevitable, al menos podría evitar que la contraseña se escriba en el archivo del historial del shell.

$ xargs darkcoind masternode start

password⏎

CtrlD

El archivo de historial solo debe registrar xargs darkcoind masternode start, no la contraseña.

Como han dicho otros, busque en su control de historial de shell para ocultar la información del historial.

Pero una cosa que nadie parece haber sugerido todavía es montar /proccon el hidepidparámetro. Intente modificar su /proclínea /etc/fstabpara incluir hidepid, de esta manera:

# <file system> <mount point>   <type>  <options>       <dump>  <pass>
proc            /proc           proc    defaults,hidepid=2        0       0

Puede mantener la contraseña fuera del historial de su shell ejecutando el comando desde un nuevo proceso de shell, que luego termina inmediatamente. Por ejemplo:

bash$ sh
sh$ darkcoind masternode start 'correct horse battery staple'
sh$ exit
bash$

Asegúrese de que shesté configurado para no guardar su historial en un archivo.

Por supuesto, esto no soluciona los otros problemas, como que la contraseña esté visible en ps. Creo que hay formas en que el darkcoindprograma en sí mismo puede ocultar la información ps, pero eso solo acorta la ventana de vulnerabilidad.

Para Bitcoin, la respuesta oficial del desarrollador es usar el contenedor de python proporcionado en contrib/bitrpc/bitrpc.py( github ):

Pide una contraseña de forma segura si utiliza el comando walletpassphrase, por ejemplo. No hay planes para agregar funcionalidad interactiva bitcoin-cli.

y:

bitcoin-cli permanecerá tal cual y no obtendrá funcionalidad interactiva.

Fuente: # 2318

Desbloquear billetera:

$ python bitrpc.py walletpassphrase

Cambiar frase de contraseña:

$ python bitrpc.py walletpassphrasechange

https://github.com/bitcoin/bitcoin/tree/master/contrib/bitrpc

Para darkcoin funciona un diálogo:

https://github.com/darkcoin/darkcoin/tree/master/contrib/bitrpc