Su Troubles + Leuk verschijnsel.

[Terror]

Hi all,

Ik zit met een probleem. Maar laat ik eerst het leukverschijnsel wat er aan vooraf ging vertellen. Perongeluk heb ik in Redhat 7.2 /etc/passwd verkloot. Gevolg. kon maar op 1 account inloggen. Root acces ho maar. meer dan mijn home dir was niet te zien zeg maar. Gauw de rescue disk gepakt en een nieuwe passwd er op die manier het systeem gegooid. Echt een ramp. Die rescue disk bevat een zwaar gehandicapte linux versie, maar goed, So far so good.

Systeem boot. Root acces perfect. Andere gebruikers. Saved. su naar root. Fuck, dat wil niet. su naar andere account? Heej dat wil wel. Strange. Zoeken op i-net naar onderstaand

code:

[Terror@localhost Terror]$ su
Password: 
su: cannot run /bin/bash : No such file or directory
[Terror@localhost Terror]$

Google geeft alleen hits op

code:

su: cannot run /bin/bash : permission denied

Gauw kijken naar passwd. Maybe toch een foutgemaakt?
regel van toepassing:

[code]
root:x:0:0:root:/root:/bin/bash
[code]

Toch niks fout

Permissies gecheckt van sulogin/login allemaal 755.

* Terror loopt vast. WTF is hier fout. Zowel op console als met ssh krijg ik deze error. Root login via ssh staat uit, maar dan moet dit het wel doen natuurlijk. Wie weet raad?

[Verwijderd]

Vaak is su gekoppeld aan lidmaatschap van de groep wheel. Vergeten in te stellen ? Niet iedereen gebruikt BSD achtige distro's en zoals terecht opgemerkt eerst lezen dan blaten janjanjansen !!

[Terror]

aan groep heb ik niks verandert/verziekt

de wheel regel ziet er als volgt uit

code:

wheel:x:10:root

Maar goed. Als ik dit niet zou koppelen dan zou er permission denied staan neem ik aan ipv cannot find ... Echt vaag. /bin/bash bestaat gewoon.

[imdos]

Bij mij is het 4711 Dus maybe moet je het nog even set-uid root maken ofzo?

[Terror]

Permissie van passwd repectievelijk 1755 , 2755, 4755 gemaakt. Steeds zelfde error. Als dat is wat je bedoelt tenminste.

[deadinspace]

Hmm, janjanjansen en imdos... Wel de foutmelding lezen he
Er staat '/bin/bash: no such file or directory'... Ik weet niet hoe non-membership van de group wheel (GNU/Linux distro's doen daar per default overigens niet aan) of het niet setuid root zijn van /bin/su daar iets mee te maken kan hebben.

Bestaat /bin/bash wel? (ls -l /bin/bash)
Als je /etc/passwd met joe opent, staat er dan achter /bin/bash een vreemd teken (^M bijvoorbeeld)?

edit: /etc/passwd moet gewoon 644 (readable by all, writable by user) zijn. /bin/bash moet 755 (readable and executable by all, writable by user) zijn. /bin/su moet 4755 zijn (readable and executable by all, writable by user, SETUID).

[Terror]

Geen gekke tekens en bestaat gewoon.

code:

[Terror@localhost Terror]$ ls -l /bin/bash
-rwxr-xr-x    1 root     root    519964 Jul  9  2001 /bin/bash
[Terror@localhost Terror]$ /bin/bash
[Terror@localhost Terror]$ pico /bin/bash
--Output hiervan zal je denk ik weinig interesseren :P

Wel frappant dat alleen su naar root dit geeft. Su naar andere accounts doet ie gewoon. BTW. Permissies even goed gezet als bovenstaande.

EDIT> owh wacht effe. open met joe. Effe installen.

EDIT2> ook met joe geen gekke tekens. Ziet er netjes uit allemaal.

[deadinspace]

Mja, maar ik weet niet of pico die ^Ms laat zien...
Doe anders eens 'grep root /etc/passwd | hexdump' (aannemende dat je hexdump hebt).

[Terror]

code:

[Terror@localhost Terror]$ grep root /etc/passwd | hexdump  
0000000 6f72 746f 783a 303a 303a 723a 6f6f 3a74
0000010 722f 6f6f 3a74 622f 6e69 622f 7361 2068
0000020 6f0a 6570 6172 6f74 3a72 3a78 3131 303a
0000030 6f3a 6570 6172 6f74 3a72 722f 6f6f 3a74
0000040 732f 6962 2f6e 6f6e 6f6c 6967 0a6e     
000004e

Heb echt geen idee wat dit mag voorstellen.

Als ik voor /bin/bash wat anders invul. Bijv: /sbin/login dan kan die die ook niet vinden. Is net alsof ie op de verkeer plek begint met zoeken ofzo. Zou bijna zeggen dat root niet in root staat

Me pitten. Morgen weer een dag om te fixen.

[deadinspace]

Er staat een spatie achter '/bin/bash'

[Terror]

Geniaal. Dat ik daar niet aangedacht had/niet gezien had. TY. BTW. Nu ben ik wel heel benieuwd hoe je dat uit die hexdump gehaald heb

[Verwijderd]

Op dinsdag 12 maart 2002 08:05 schreef Terror het volgende:
Geniaal. Dat ik daar niet aangedacht had/niet gezien had. TY. BTW. Nu ben ik wel heel benieuwd hoe je dat uit die hexdump gehaald heb

en jij bent niet de enige...

[kenneth]

Op maandag 11 maart 2002 23:24 schreef deadinspace het volgende:
edit: /etc/passwd moet gewoon 644 (readable by all, writable by user) zijn. /bin/bash moet 755 (readable and executable by all, writable by user) zijn. /bin/su moet 4755 zijn (readable and executable by all, writable by user, SETUID).

511 en 4511 voor resp. bash en su is toch genoeg? Ik heb geen Linux-bak hier, maar volgens mij hebben users geen leesrechten op binaries. (Of is dat alleen bij Solaris default).
Tis wel goed als je paranoia bent BTW

[Terror]

Hoe dichter hoe beter Wordt alleen minders als je er zelf niet meer in komt

[Mark]

Op dinsdag 12 maart 2002 08:05 schreef Terror het volgende:
Geniaal. Dat ik daar niet aangedacht had/niet gezien had. TY. BTW. Nu ben ik wel heel benieuwd hoe je dat uit die hexdump gehaald heb

Als ik het me goed herriner is HEX code 20 een spatie. Zoek maar eens in je hexdump waar deze staat (om het je makkelijk te maken, HEX waarde voor een enter is 0a)

Sterker nog, een: grep root /etc/passwd levert bij jou 2 regels op

[deadinspace]

Op dinsdag 12 maart 2002 18:28 schreef Mark het volgende:
Als ik het me goed herriner is HEX code 20 een spatie. Zoek maar eens in je hexdump waar deze staat (om het je makkelijk te maken, HEX waarde voor een enter is 0a)

Sterker nog, een: grep root /etc/passwd levert bij jou 2 regels op

Jep, maar (en daar kwam ik toen ook pas achter) hexdump draait telkens twee bytes om... Knap hinderlijk.

Maar op het einde van de tweede regel en het begin van de derde zie je bij jou staan: '2068 6f0a'.
Als je de bytes omdraait krijg je '68200a6f', wat betekent:
68 -> 'h' (van '/bin/bash)
20 -> ' '
0a -> newline
6f -> 'o'

Die 'o' is overigens van de tweede regel die er bij jouw uit 'grep root /etc/passwd' komt, en is van de user operator (die in de group 'root' zit, daarom spuugt grep die regel ook uit).

[Mark]

Op woensdag 13 maart 2002 00:06 schreef deadinspace het volgende:

[..]

Jep, maar (en daar kwam ik toen ook pas achter) hexdump draait telkens twee bytes om... Knap hinderlijk.

Nog makkelijk zou zijn geweest:

code:

grep root /etc/passwd | hexdump -c

Hoef je geen ascii tabel te gebruiken om de juiste codes op te zoeken en heb je geen last van byte shifting.