OpenConnect csd-wrapper: kagua script kabla ya kuingia

Kuongeza --csd-wrapper kwenye profil kunakabidhi script ya ndani kwa daemon inayoiendesha wakati wa kuingia, kwa hivyo uamuzi ulio mbele yako ni ukaguzi wa msimbo, si kitufe cha upendeleo. Chaguo hili lipo ili sehemu ya ukaguzi wa mwenyeji wa gateway iweze kubadilishwa, na inachukua njia kuelekea script unayotoa. Kila kitu hapa chini kinachukulia kuwa mmiliki wa usambazaji tayari amesema ni ukaguzi upi wa mkao unahitajika; ikiwa sehemu hiyo bado iko wazi, isuluhishe kwanza. Mwongozo una hatua nne: pata hatua iliyoshindwa, soma script, chagua utambulisho inaoendeshwa nao, na uthibitishe matokeo.

Hatua 1: Pata hatua iliyoshindwa

Ujumbe wa mwisho wa mteja kwa kawaida unahusu kuki, ambayo ni mwisho wa mnyororo na si mwanzo wake. Kuingia kwa HTTPS, ukaguzi wa cheti cha seva, ubadilishanaji wa uthibitishaji na sehemu ya mkao vyote vinasimama mbele ya ujumbe huo.

Rekodi toleo na anwani ya kuingia inayotumika, kisha rudia jaribio ukitunza matokeo ya kina kwenye terminal yako mwenyewe. Soma kosa la kwanza ambalo si jaribio la mara ya pili, si mstari wa mwisho wa nakala. Iwapo kumbukumbu itasimama kabla ya sehemu yoyote ya tathmini kutajwa, kifuniko bado si tatizo lako. Kuiongeza wakati huo kunapanua tu uso ambao utalazimika kuutetea baadaye.

openconnect --version
openconnect --verbose --user="$VPN_USER" vpn.example.com </dev/null

We ka nakala mahali hapa, kwa sababu kuki na majibu ya uthibitishaji ni nyenzo za ufikiaji. Alama iliyobandikwa kwenye gumzo ni uvujaji wa vitambulisho hata wakati hatua ya tathmini inaonekana haina madhara. Shiriki maandishi ya kosa na mahali kwenye mtiririko ambapo yalionekana, kamwe si mzigo.

Hatua 2: Soma script kabla ya kuingia kwenye profil

Kifuniko kinaaminika kwa kadiri marekebisho uliyoyakagua, kwa hivyo pin marekebisho hayo na uhifadhi hash yake kando ya barua ya idhini. Amri mbili hapa chini zinakupa alama ya kidole na ukaguzi wa sintaksia wa bei nafuu kabla ya kusoma mstari mmoja. Pia zinampa mtu anayefuata rejeleo thabiti, jambo ambalo ni muhimu wakati faili inaishi nje ya usimamizi wa vifurushi. Hakuna amri inayosema script inafanya nini, kwa hivyo ziendeshe na uendelee kusoma.

sha256sum ./vpn-csd-wrapper.sh
bash -n ./vpn-csd-wrapper.sh

Soma faili yote ukiwa na maswali manne akilini: je, inafanya simu za HTTP za nje, je, inasoma faili za vitambulisho au vigeu vya mazingira, je, inaandika nje ya saraka ya muda, na je, tawi lolote linaripoti mkao uliopita bila kupima kitu. Mchoro huo wa mwisho ni upitaji wa sera ukiwa na mstari wa kumbukumbu uliounganishwa. Vifuniko vilivyonakiliwa huwa vinavibeba kwa siri nyuma ya ukaguzi unaoonekana kuaminika. Iwapo script itaamua kuwa kifaa kiko sawa kabla ya kukitazama, simama hapo.

Kagua pia mizigo iliyofungwa, kwa sababu kichwa kinachosomeka hakithibitishi chochote kuhusu sehemu iliyobaki ya faili. Kupakua script kutoka kwenye mada ya jukwaa hakufanyi iwe ya kuaminika kwa sababu tu jina lake linasikika kama sehemu halisi ya ukaguzi wa mwenyeji. Rekodi nani aliisakinisha, ilikotoka na itasasishwaje.

grep -nE 'base64 -d|xxd -r|eval |curl |wget ' ./vpn-csd-wrapper.sh

Hatua 3: Chagua utambulisho ambao kifuniko kinaendeshwa nao

--csd-user hupunguza mapendeleo wakati programu ya CSD, TNCC au HIP inaendeshwa. Akaunti hiyo ni sehemu ya mpangilio wa utekelezaji wa ndani, si jina la mtumiaji linalowasilishwa kwa gateway.

Mpa kifuniko akaunti maalum isiyo na shell shirikishi, isiyo na haki za sudo na isiyo na uanachama wa vikundi isivyohitaji. Toa ufikiaji wa kusoma kwa script na faili mahususi inazokagua, kisha jaribu upunguzaji kabla ya kugusa profil ya VPN. Kupata tatizo hapa ni nafuu kuliko kulipata ndani ya mteja.

sudo -u vpn-csd /usr/local/libexec/vpn-csd-wrapper.sh

Kupunguza mapendeleo kunapunguza uharibifu ambao script mbaya inaweza kusababisha. Hata hivyo haikagui msimbo, haifanyi ripoti kuwa kweli, na haithibitishi kwamba msimamizi wa gateway anakubali utekelezaji huu kama kutimiza sera ya kifaa.

Hatua 4: Weka mabadiliko yawe ya kurudishwa

Tengeneza nakala rudufu ya profil kabla ya kuihariri, na weka kifuniko chini ya udhibiti wa matoleo ili kurudisha kurejeshe hash inayojulikana badala ya kutafuta nakala. Andika njia ya script, hash, mtumiaji wa utekelezaji na mwenye kuidhinisha mahali pamoja.

Ili kurudisha, ondoa chaguo, anzisha upya mteja na uthibitishe kwamba kosa la awali linarejea. Iwapo gateway bado inakataa kuingia baada ya kurudisha, kuna kitu kingine pia kilichobadilika, na kupata tofauti hiyo huja kabla ya kujaribu kifuniko tena. We ka nakala ya awali muda wote wa dirisha la mabadiliko, ambayo kwa timu nyingi inamaanisha hadi dirisha la matengenezo lijalo lipite.

Baada ya usambazaji wenye mafanikio, kagua mambo mawili badala ya moja: handaki linapanda, na kifaa kinachopaswa kushindwa kwenye ukaguzi wa mkao bado kinakataliwa. Muunganisho unaofanya kazi kwa kila mtu si uthibitisho kwamba tathmini ilinusurika mabadiliko yako.

Njia za mkato zinazounda tatizo la pili

Usiruhusu msaidizi kuripoti hali inayofuata bila kuendesha ukaguzi unaohitajika, na usibadilishe utambulisho wa jukwaa ili uoane na mfumo mwingine wa uendeshaji. Kudai jukwaa tofauti si uthibitisho kwamba kifaa halisi kinatimiza sera. Inakuacha na mteja anayedanganya katika kila kuingia kunakokuja.

Kuzima uthibitishaji wa seva, kucheza tena kuki ya zamani na kurundika script ambazo hazijakaguliwa vyote hubadilisha kushindwa kunakoonekana kwa kusikoonekana. Iwapo mteja aliyesakinishwa hawezi kukamilisha mtiririko unaotumika, omba mbadala ulioidhinishwa badala ya kupinda ule ulio nao.

Mwongozo wa OpenConnect unaandika --csd-wrapper na --csd-user tofauti, na hiyo ndiyo dalili iliyo muhimu: script na utambulisho ni maamuzi mawili. Yakague tofauti na uandike yote mawili. Kisha kidokezo cha kuingia kinaacha kuwa fumbo unalolitatua kwa kubandika msimbo.