Samba PDC

[Jan-Benedict Glaw]

On Sun, 2002-11-24 21:23:05 +0100, Florian Schwarz <floh at maflohsoft.de>
wrote in message <3DE13529.1090204 at maflohsoft.de>:
> Jan-Benedict Glaw schrieb:
> 
> >>20:38:42.821168 open("/etc/samba/smbpasswd", O_RDONLY|O_LARGEFILE) = -1 
> >>EACCES (
> >>Permission denied)
> >
> >
> >Also, einer Deiner samba-Prozesse will /etc/samba/smbpasswd öffnen (nur
> >zum Lesen, und es darf auch eine Datei >2GB sein), aber das darf er
> >nicht, weil die Rechte nicht reichen.
> 
> -rw-------    1 root     root          214 2002-11-24 20:11 smbpasswd
> 
> Strange, wenn ich jetz nen chmod 666 auf die smbpasswd mache werden die 
> neuen Rechte übernommen, aber wenn ich dann nochma versuche mich 
> einzuloggen sind die Rechte wieder wie oben. Ich blick das nich!

So wie da oben sind die Rechte IMHO okay - das sind sensitive Daten, da
sollte niemand d'ran 'rumfummeln dürfen.

> >>20:38:42.821426 time(NULL)              = 1038166722
> >>20:38:42.821630 geteuid32()             = 1007
> >>20:38:42.821842 write(22, "[2002/11/24 20:38:42, 0] passdb/"..., 70) = 70
> >>20:38:42.822108 geteuid32()             = 1007
> >>20:38:42.822304 write(22, "  unable to open passdb database"..., 34) = 34
> >nicht öffnen darf. Existiert die? Welche Rechte hat die?
> 
> s.o.
> 
> >Wenn ich mich richtig erinnere, sollten die Rechte ausgekaspert sein,
> >_befor_ der fork() passiert und der Kind-Prozeß sich selbst die UID des
> >Benutzers gibt (-> zu diesem Zeitpunkt könnte der EACCESS-Fehler
> >auftreten). Guck nochmal das log durch und achte darauf, wann samba
> >feststellt, welche UID und so er benutzen soll/will.
> 
> befor <- *g* Zu viel englisch getippt? (SCNR)
> Aber von dem was du geschrieben hast verstehe ich eigentlich nix *g*

Also...

	1. Der Haups-Samba-Prozeß steht dumm rum
	2. Ein blöder Windows-Client kommt an und fragt dumm 'rum, ob er
	darf oder nicht...
	3. Samba-Prozeß knöpft sich den Kleinen vor und quetscht
	Username/Password 'raus.
	4a. Der Samba-Prozeß stellt fest, daß der Kleine nicht darf, und
	ignoriert ihn.
		-oder-
	4b. Der Samba-Prozeß stellt fest, daß die Schnecke gucken darf
	und macht daraufhin ausfindig, unter wessen (Unix-)Rechten der
	das darf.
	5. setuid() auf die UID des Unix-Users, der unter 4b
	herausgefunden wurde. _Ab hier_ kann man nicht mehr in der
	/etc/samba/smbpasswd gucken!!!
	6. Du mußt anscheinend doch nochmal nachgucken und hast ein
	Problem...

> 20:38:42.821630 geteuid32()             = 1007
> 
> Meinst du diese Zeile? Oder sowas hier:
> 
> 20:38:42.817209 read(23, "floh:1007:5A2BFDB0D1465479AAD3B4"..., 4096) = 214
> 
> Ich weiß leider nicht wie ich die entsprechenden Informationen aus der 
> Datei suche :(

Du mußt feststellen, was (im großen Bogen) Samba da versucht. Da scheint
an einer Stelle eine Reihenfolge durcheinandergekommen zu sein. Was für
eine Samba-Version nutzt Du eigentlich? 2.x.y oder 3.x.y?

MfG, JBG

-- 
   Jan-Benedict Glaw       jbglaw at lug-owl.de    . +49-172-7608481
   "Eine Freie Meinung in  einem Freien Kopf    | Gegen Zensur
    fuer einen Freien Staat voll Freier Bürger" | im Internet!
   Shell Script APT-Proxy: http://lug-owl.de/~jbglaw/software/ap2/
-------------- next part --------------
A non-text attachment was scrubbed...
Name: not available
Type: application/pgp-signature
Size: 189 bytes
Desc: not available
URL: <http://lug-owl.de/pipermail/linux/attachments/20021124/b6711b35/attachment.sig>