PrivateTmp: hook файлды жазды, бирок ал кайда кетти?

Hook'тор ийгилик жөнүндө кабарлашат, ал эми ошол эле жол shell'ден дагы эле бош көрүнөт. Эки билдирүү тең бир убакта туура болушу мүмкүн, анткени systemd кызматы жеке убактылуу каталогу бар өзүнүн mount ат мейкиндигинде жашашы мүмкүн. Муну түшүнгөндөн кийин кызыктуу суроо жазуу жалпы ийгиликтүү болдубу дегенге өтөт.

Эки убактылуу каталог, бир жол

Бөлүү жөндөөсү бирдикке убактылуу каталогдордун жеке көрүнүшүн берет, аларды тек окууга гана жарактуу кылуунун ордуна. Бирдиктен тышкаркы процесстер анын ал жерде эмне жазганын көрө албайт, ал эми калтырган нерселеринин баары бирдик токтогондо ыргытылат. Ошондуктан hook басып чыгарган жол менен shell'ден текшерилген жол бир эле аттагы ар башка объекттерди көрсөтүшү мүмкүн.

Бул көрүнүү маселеси, жана ал маалымат жоготуу маселесине окшош. Эч нерсе өчүрүлгөн жок, анткени файл жөн гана shell мүчөсү эмес ат мейкиндигинде турат. Ошол эле буйрук бирдиктин ичинде аткарылганда башкача аракеттенет, жана дал ушул байкоо талашты адатта чечет. Жазуу жөнүндө кандайдыр бир тыянак чыгаруудан мурун бирдиктин жөндөөлөрүн окуңуз.

Көрүнбөгөндү жазылбагандан ажыратыңыз

Ийгиликтүү жазуу жана ийгиликсиз ачуу ар башка далил берет, жана бул айырма оңдоону аныктайт. Эгер hook файл түзүлдү десе, бирок тышкы окуучу аны таппаса, сизде ат мейкиндиги боюнча суроо бар. Эгер hook укук катасы же ийгиликсиз ачуу жөнүндө кабарласа, файл эч качан жазылган эмес жана ат мейкиндигин өзгөртүү жардам бербейт.

systemctl show [email protected] -p PrivateTmp -p User -p Group -p RuntimeDirectory
systemctl show [email protected] -p MainPID --value
sudo ls -l /proc/PID/root/tmp/client-state

Процесстин тамыры аркылуу жол кызматтын өзүнүн файлдык система көрүнүшүн көрсөтөт, ал процесс иштеп турганда ага карата укук текшерүүлөрүнө байланыштуу. Бирдиктин журналын ошол эле сессияда окуңуз, анткени бирөө себебин мурунтан чечип койсо, жазуу катасы менен жок файлды аралаштыруу оңой.

Жалпы маалыматка ачык орун бериңиз

Кызматка гана керек маалымат анын жеке убактылуу каталогунда болот. Башка процесс окушу керек маалымат экөө үчүн аныкталган жолду талап кылат, анда ээси, режими жана мөөнөтү көрсөтүлөт. Бирдикти оңдоодон мурун эки учурдун кайсынысы сизде экенин чечиңиз. Бул окуялардын көбү жеке файлды жалпы файл катары кароодон келип чыгат.

[Service]
RuntimeDirectory=openvpn-hook-office
RuntimeDirectoryMode=0750

Иштөө каталогу папканы системанын иштөө аймагынын астына жайгаштырат, аны бирдиктин конфигурацияланган колдонуучусу жана тобу үчүн түзөт жана бирдик токтогондо алып салат. Пакеттин бирдиги бузулбашы үчүн аны drop-in аркылуу кошуңуз, анан менеджерди кайра жүктөп, ошол нусканы кайра иштетиңиз, анын кардарлары кайра туташарын кабыл алыңыз.

Орнотулган бирдик мурунтан талап кылган ар кандай иштөө каталогун сактаңыз. Тизмеге кошуунун ордуна аны алмаштыруу — өзгөртүү менен эч ким байланыштырбаган башка функцияны бузуунун кеңири тараган жолу.

Эки артыкчылык катмары макул болбошу мүмкүн

Кызмат менеджери каталогду бирдиктин конфигурацияланган колдонуучусу үчүн түзөт, ал эми VPN демону туташуу hook'ун иштетүүдөн мурун өзүнчө өз каттоо эсебине түшүшү мүмкүн. Булар ар башка катмарлар, жана алар ар башка инсандарды аташы мүмкүн.

Root'ко таандык чектөөчү режимдеги каталог артыкчылыктардан баш тарткан демон үчүн толук көрүнөт, бирок ага жазылбайт. Ошондо ката укук маселеси катары окулат, ал эми жол так күткөн жерде бар. Каталогдун ээсин hook кабарлаган инсан менен салыштырыңыз. Алар айырмаланса, режим эч качан суроо болгон эмес.

Ээликти өзгөртүүдөн мурун hook чындыгында кайсы инсан менен иштээрин текшериңиз. Каталогду оңдоо үчүн кызматтын аткаруу колдонуучусун өзгөртүү башка жерде түзмөккө кирүү жана тармактык артыкчылыктарды өзгөртүшү мүмкүн, бул кичинекей маселе үчүн чоң баа.

Бүт өткөрүп берүүнү текшериңиз

Бир убакта төрт нерсени ырастаңыз: hook өзүнүн чыныгы инсаны менен жазат, көздөлгөн окуучу файлды колдоно алат, башка колдонуучулар колдоно албайт, жана бирдикти токтотуу долбоор боюнча тазалайт. Хосттун жалпы убактылуу каталогунда файлдын пайда болушу талап эмес, жана бул адатта алмашуу өз жолун эч качан албаганынын белгиси. Окуучуну кайра иштетүүдөн кийин сынаңыз, биринчи аткарууда гана эмес. Тазалоо жүрүмү долбоордун бөлүгү, ошондуктан аны болжолдоонун ордуна байкаңыз.

Туруктуу абал өмүр узактыгы дал келген жерде болушу керек, анткени иштөө каталогу жоголууга арналган. Орунду ыңгайлуулукка эмес, өмүр узактыгына карап тандаңыз. Бул адат ушул эле изилдөөнүн кийинки версиясын болтурбайт.