Sababta baaritaanka dekedda uu isu beddelo marka sudo lagu shaqeeyo

Nmap had iyo jeer ma dirao baakadda aad u malaynayso inaad codsatay. Marka raw sockets aan la heli karin, waxay beddelaa SYN scan-ka caadiga ah TCP connect scan, sidaas darteed shaqayn isticmaale caadi ah iyo shaqayn sudo hoostiisa ayaa ka jawaabi kara su'aalo kala duwan oo ku saabsan isla dekedda. Natiijooyinku waxay u eg yihiin dhibaato ogolaansho, badanaana waa isbeddel hab. In habka si cad loo sheego waa tan kaliya ee labada shaqayn lagu barbardhigi karo.

Laba baare, hal deked, waddooyin kood oo kala duwan

SYN scan waxay keligeed dhistaa madaxa TCP, ka dirtaa raw socket, oo ka akhridaa jawaabta shabakadda ka hor inta aan stack TCP ee kernel weligiis diiwaangelin xidhiidh dhammaaday. connect scan waxay ka codsataa nidaamka hawlgalka inuu furo socket caadi ah oo soo sheegta waxa connect() soo celiyo. Labaduba waxay ugu yeeri karaan deked furan, laakiin mid keliya ayaa ka tagta isku day badh-furan oo mid keliya ayaa hoos yimaada siyaasadda heer socket ee ku xidhan habka dira.

Waddada raw waxay u baahan tahay CAP_NET_RAW, taas darteed baaritaanka caadiga ah aamusnaan ayuu u xumaadaa marka awooddaas maqan tahay. Tixraaca farsamooyinka baaritaanka ee Nmap laftiisa wuxuu diiwaangelinayaa beddelka: connect scan waa beddelka sababtoo ah uma baahna wax ogolaansho gaar ah. Beddelku wuxuu dhacaa iyada oo aan digniin lahayn inta badan shaqaynta, taasna waa waxa ka dhigaya mid si fudud loo akhriyo si khaldan. Markaad ogaato in beddelka jiro, “furan sida root, xiran sida isticmaale” ma noqonayso wax u eg khalad ogolaansho oo wuxuu bilaabaa inuu u ekaado laba cabbir oo kala duwan.

Waxa sudo run ahaantii ku beddelo baaritaanka

Kor u qaadista ogolaanshaha waxay soo celisaa waddada raw socket, taasna wax ka beddesha wax ka badan go'aanka. Doorashada dekedda isha, waqtiga baakadaha, habdhaqanka dib-u-dirista iyo sida jawaab la sifeeyay loo kala saaro dhammaantood waxay ka yimaadaan kood kala duwan. Qalabka dhexe ee xaddidaya heerka SYN wuxuu labada shaqayn u dhaqmaa si aan sinnayn xitaa marka martigeliyaha yoolku isku mid yahay.

Diiwaangelinta dhinaca yoolka sidoo kale way kala duwan tahay. Gacan-qaadid dhammaatay waa lagu arkaa adeegga iyo xisaab kasta oo socket, halka baare badh-furan oo dib loo dejiyay inta badan aan la arkin. Haddii aad shaqaynta la barbardhigto martigeliye aad adiguna akhrinayso diiwaannadiisa, qayb ka mid ah farqiga aad aragto waa indha-indhaynta lafteeda.

Habka ku hay mid joogto ah labada shaqayn

Ku qasab farsamada la mid ah labada wicid, markaas barbardhiggu wuxuu bilaabaa inuu macne sameeyo. Calanka -sT wuxuu si cad u codsadaa connect scan, -Pn wuxuu ka saaraa ogaanshaha martigeliyaha, -n wuxuu ka saaraa xallinta magacyada, hal -p wuxuuna ka saaraa farqiga liiska dekedaha.

nmap -sT -Pn -n -p 8443 198.51.100.77
sudo nmap -sT -Pn -n -p 8443 198.51.100.77

Ku beddel cinwaanka iyo dekedda martigeliye aad fasax u haysato inaad tijaabiso; xadka dukumeentiga ee sare waa tusaale, ma aha bartilmaameed. Haddii labada shaqayn hadda iswaafaqaan, farqiga asalka ahaa wuxuu ka yimid habka baaritaanka. Haddii ay wali iswaafaqi waayaan, wax kale ayaa kala saaraya gaadiidka, qaybta xigtana waa meesha la eegayo.

Macnaha akoonka ma aha oo kaliya calanka ogolaanshaha

Fidinta VPN waxay baakadaha ku kala saari kartaa UID, cgroup, ama qaanuun ku xidhan habka furay socket-ka. Markaas gaadiidka root iyo kan isticmaaluhu waxay ka baxaan shaxanno waddo oo kala duwan ama waxay ku dhacaan qaybo qaanuun oo kala duwan, oo ma jiro edbin hab-baaritaan oo iisku keena.

Baadh siyaasadda, ma aha ogolaanshaha. Linux dhexdiisa nftables waxay tan ku muujisaa meta skuid, iptables-na isku-dhac milkiile, mid kastaana wuxuu u diri karaa hal UID tunnel dhexdiisa inta midka kale uu sii isticmaalayo waddada jirka ee caadiga ah.

sudo nft list ruleset | grep -n skuid
sudo iptables-save | grep -n uid-owner
ip rule show
ip route get 198.51.100.77

Ka hor barbardhigga natiijooyinka, xaqiiji baaraha

Ka hor intaadan go'aan gaarin, caddee baaraha kee shaqeeyay. Nmap waxay farsamada ku magac dheertaa soo-saarkeeda, --reason wuxuuna ku daraa caddaynta ka dambeysa xaalad kasta, taas oo ah qaybta kuu sheegta haddii gacan-qaadistu run ahaantii dhammaatay.

nmap --reason -sT -Pn -n -p 8443 198.51.100.77
sudo nmap --reason -sS -Pn -n -p 8443 198.51.100.77
getcap "$(command -v nmap)"
capsh --print | grep -i net_raw

Laba shaqayn oo isla xaalad u sheega sababo kala duwan ma aha iskhilaaf, laba shaqayn oo xaalado kala duwan u sheega isla sababna waxay tilmaamayaan waddooyin ama siyaasad, ma aha baaritaanka. Hayso yoolka, dekedda, booska magacyada iyo waqtiga isku mid, kadibna beddel hal doorsoome mar kasta. Adeegga root ahaan ku shaqayntu ma aha hagaajinta iswaafaq-la'aanta siyaasadda; hagaajintu waa in siyaasadda loogu talagalay lagu muujiyo milkiilaha adeegga.