Dotaz: Co může způsobit změnu vlasnictví složek bez mého vědomí?

[Josef Dušek]

Zdravím, několikrát se mi stalo že po instalaci Virtualboxu mi nešlo doinstalovat rozšíření. Zjistil jsem že složka /usr již není vlatněna rootem, ale uživatelem. Po opravě je vše ok. Včera jsem zjistil že se po aktualizaci VB změnilo vlastnictví nejenom složky /usr ale i /etc na práva uživatele. Opět jsem to nastavil správně a je to ok. Jenom nechápu co může být příčinou? Děje se to stejně v CachyOS i EndeavourOS.

---

---

Odpovědi

[X]

Jen pro ujasneni, bavime se o pravech v nejakem virtualu ve VirtualBox?

[Josef Dušek]

Jenom jsem si všiml že se to děje nejčastěji při instalaci, nebo aktualizaci VB. Najednou jsou změněny práva vlastníka z root na uživatele v /etc a /usr bez mého přičinění.

[Aleš Kapica]

Nechci být jízlivý, ale proč nepoužíváš nějakou normální distribuci?

[Josef Dušek]

Nechápu co je na distribucích založených na Archu nenormálního?

[Aleš Kapica]

Tímto způsobem to instaloval nejméně čtyři roky s Ubuntu a bez problémů. Nějakou dobu tento problém mám a zajímalo by mě co dělám špatně a jak je vůbec možné že se změní vlastnictví uvedených složek.

To jsou tvoje slova, uvedená o pár odstavců níže. Distribuce založená na Debianu (Ubuntu), není Debian. A distribuce založené na Archu (CachyOS a EndeavourOS) nejsou Arch. Takže by ses měl ptát spíše na webech věnovaných těm distribucím, než házet nic neříkající dotaz do pléna.

Já, na rozdíl od podtržítka, křišťálové koule, které by mi prozradily co a jak kde děláš nemám, tudíž jen těžko mohu říct co je blbě. Obvykle, pokud chce ode mne někdo poradit, chci maximum informací o tom co, kde a jak dělá. Úplně nejlepší je, když mu vidím na ruce a na monitor. Navíc má každá distribuce svá specifika. Těch technologií už je tolik, že není reálné vědět o každé záludnosti, která se kde může vyskytnout.

Připomnělo mi to „odborníka” přítomného na pracovním pohovoru, který jsem před lety jen tak ze zvědavosti absolvoval. Chtěl ode mne vědět řešení problému, který mohlo způsobit mnoho nejrůznějších příčin a nechápal, že se nejdřív musí udělat diagnostika problému.

Lidí co toho vědí dost na to, aby dokázali problémy řešit obratem, je proklatě málo a většinou jsou úzce specializovaní. Já mám výhodu, že takové lidi znám, takže když mi teče do bot, mám komu zavolat. Jejich rada nemusí vést nutně k vyřešení problému, ale může napomoci k tomu, abych to řešení našel. A naopak oni zas volají mně, když si neví rady, nebo se potřebují poradit.

[Aleš Kapica]

Nejpravděpodobnější je, že se pokoušíš narvat do systému nějaký balíček pod uživatelem, přes sudo, ale v tom balíku je to nějak blbě ošetřeno – proto jsem se ti snažil naznačit, že to může být problém zvolené distribuce.

[Peter Golis]

Blbosť, toto je čistý trolling založený na zjednodušenom jazykovom modeli.

Dole tvrdí že sťahoval extension pack (vbox-extpack) ktorý je tar.gz v ktorom sú utriedené Shared Object (a dll pre windows), a akosi tam nie je referencia ani na /etc a ani na /usr. Pred tým to zas bolo iso s doplnkovými ovládačmi do guesta ktorého inštalácia na hoste mu pokazila kus systému hypervízora.

Takto blbý nemôže byť nikto z mäsa a kostí. Ak by bol, tak z neho nevyjde zložená veta.

[Aleš Kapica]

Takto blbý nemôže byť nikto z mäsa a kostí.

Ty asi nemáš moc zkušeností s reálnými lidmi, viď? Vzpomínáš na debatu iSCSI & FS? Tak ten výpadek způsobil doc. Ing. Ph.D. který měl před čumákem volný patch kabel, připravený pro externí osoby s notebookem co nemohou použít eduroam, a jako mentální výzvu – volný port.

[Peter Golis]

Človek z mäsa a kostí by dokázal zosumarizovať čo s tým postváral. Tak ako si to pamätal ten doc. Ing. Ph.D.

[Aleš Kapica]

Právě že doc. Ing. Ph.D. nemyslel a do té zástrčky to píchnul, protože mohl.

[Peter Golis]

Práveže myslel, i keď inak ako ty (rozvádzač si mal mať zabezpečený). A dokázal zosu...

[Aleš Kapica]

Odkdy se ethernetovým zásuvkám na stole říká na slovensku „rozvádzač”? U osoby vystudované a vyučující na ČVUT, která má být příkladem studentům, by snad mělo existovat něco jako soudnost. Chápu, že malé děcko nemusí mít šajna, jaké mohou být důsledky toho když někde něco prošlusne – taky jsem vyrazil pojistky v celém paneláku, když jsem nůžkama přešmiknul šňůru od lampy. Ale ještě nežijeme ve státě debilů, kde musí být na každé ethernetové zásuvce nápis alá „chocking hazard”

[Peter Golis]

Ak hovoríš o pasívnej eternetovej zásuvke, tak prezraď ktorá z nich má v sebe implementovaný IPSEC. Ak vieš čo to je.

[Heron]

802.x?

[X]

Neodpovedel si na otazku.

[PetebLazar]

Zmiňuje aktualizaci VB, takže má patrně na mysli práva v rámci HostOS.

[X]

No to prave neni jasne. Prava menit vlastnika /etc nema nikdo. Pokud zato muze instalacka z repozitare OS, kterou si pudtil sam, tak je to problem pouzivani pochybnych distribuci a pochybnych repozitaru. Nic vic.

[Peter Golis]

A odkiaľ máš tú istotu že to inštaloval z repozitárov?

[Josef Dušek]

"Prava menit vlastnika /etc nema nikdo"

No právě proto se ptám co může změnu způsobit a hlavně jak se toho vyvarovat. U /etc jsem se se změnou setkal poprvé, ale u /usr již mnohokrát. Nyní mi to nedá a občas to kontroluju.

[Josef Dušek]

Ještě jsem si všiml že právo se změní z root na moje uživatelské jméno a název skupiny na "neznámá skupina"

[Josef Dušek]

Tedy mám nainstalovaný CachyOS nebo EndeavourOS na disku a pokud instaluju VB nebo se z repozitáře aktualizuje třeba nyní na verzi 7.1.8 tak se mi změní vlatnické právo /usr a /etc a musím je nastavit na root.

[Peter Golis]

Obidve spomenuté distribúcie sú založené na Arch Linuxe, a ten má daný balíček priamo v repozitároch (aj s jeho poslednou distribúciou). Ako to inštaluješ (resp. robíš upgrade), sťahuješ nejaký samoinštalovací balík zo stránky virtualbox ako to zvykne radiť AI ktorá stále nechápe prečo existujú repozitáre?

[Josef Dušek]

vše stahuji pouze z repozitáře

[Peter Golis]

A vedel by si povedať ako inštaluješ ten VirtualBox v počítači htorý má fungovať ako hypervízor, a ako v tom hypervízore inštaluješ VBox Guest Additions by malo byť určené na inštaláciu do hosťovaného virtuálneho počítača?

Pripadá mi to zmätočné ako snaha inštalovať windows ovládač pre wifi do linuxovej distribúcie.

[X]

Peto kasli na nej. Stejne si mluvi jen sam pro sebe a porad mele dokola neco o nejakych pravech.. Lama, vubec nevi co dela a neni schopen odpovidat.

[Josef Dušek]

Máš pravdu kašli na mě! Vypadá to tu jako na Živě. To to Abíčko dopracovalo. Zeptám se jinde.

[Josef Dušek]

Peter, Virtualbox instaluji normálně z repozitáře a VBox Guest Additions stáhnu ze stránky Virtualboxu. Otevřu Virtualbox a toto stažené rozšíření nainstaluji. Někdy se zobrazí chyba a když se podívám na vlastnicví složky /usr je uživatel: josef a neznámá skupina. Pokud to změním na root:root je vše ok.

[Peter Golis]

A to ti poradil nejaký Copilot a AI aby si sa opýtal na riešenie takejto veci?

Skús tej umelej inteligencii decentne naznačiť že (eng) host a (cz) host nie sú synonymá, a nech si ten tro(t)lling tým pádom prepracuje.

[Josef Dušek]

Kde jsi přišel na to že mi to radil Copilot s AI? Tímto způsobem to instaloval nejméně čtyři roky s Ubuntu a bez problémů. Nějakou dobu tento problém mám a zajímalo by mě co dělám špatně a jak je vůbec možné že se změní vlastnictví uvedených složek. Zatím jsem se dozvěděl že jsem blbec, ale vysvětlení žádné.

[Peter Golis]

Čiže ty si proaktívne a z vlastnej vôle inštaloval do hypervízora ovládače ktoré do hypervízora nepatria ale majú byť inštalované vo virtuálke?

Takéto niečo nenapadne fyzickú osobu, také niečo napadne len zjednodušený jazykový model.

Taký zjednodušený model bez mihnutia oka oznámi že človek nemá zabudnúť zalievať rastliny v akváriu so živými rybičkami, alebo že kvety sa rozmnožujú rezňami. Na podobné perličky narážam čoraz častejšie, a aj preto sa nebojím Skynetu.

[Josef Dušek]

To se tedy omlouvám Peter. Nějak mě nenapadlo že se nejedná o guest addition to je věc hostovaného systému. Stáhnu a instaluji popsaným způsobem https://www.virtualbox.org/wiki/Downloads VirtualBox 7.1.8 Extension Pack. Takže se jedná o rozšíření které se kvůli usb do vb nainstaluje. Tento způsob je špatný a může změnit vlastnictví /usr?

[Peter Golis]

Pletieš piate cez deviate, resp. v češtine sa používa výraz hodinky jak holínky. A detaily o tom čo robíš dávkuješ presne ako zle natrénovaná umelá inteligencia.

Skús jej odpovedať že nech tvoj príspevok preformuluje keďže tam kde ukazuješ nie je návod na inštaláciu rozšíreného doplnku ktorým tá AI argumentuje v pokuse o tro(t)lling.

Vieš povedať prečo by si mal (ako si teraz pre zmenu prehlásil) ten extension pack. Nefunguje ti tam klávesnica alebo myška?

[Josef Dušek]

Je to jako v jedné České pohádce: "Osobo, prosím nešly tudy děti?" odpověď: "Máchám len" "Osobo ptám s znovu nešly tudy děti?" odpověď: "Až ten len vymáchám..." Nemohu pochopit proč stále muvíš o AI kterou jsem nikdy nepoužil? Položil jsem dotaz co může mimo roota změnit bez jeho vědomí vladtnictví složek /usr a /etc. To je všechno! To že mám podezření na VB mě jenom napadlo. Odpověď je AI AI tro(t)lling... Vypadá to na duševní nemoc, nebo je tvůj mozek ovládán AI je k zamyšlení? Musíš si nalézt jinou oběť, protože já již reagovat nebudu.

[Peter Golis]

Pretože tvoja otázka je rovnako zmetočná ako informácie ktorými sa snažíš odpútať od upresnenia informácií ktoré by viedli ku vyriešeniu tohoto pseudoproblému. A presne tým sa prejavuje zadarmová verzia AI ktorá poskytuje zjednodušený jazykový model.

Vieš zosumarizovať čo a ako si to robil, čoho si sa snažil dosiahnuť, a prečo? A bez náhodných linkov na ktorých je niečo iné ako tvrdíš ty.

Mňa zaujíma ako by bolo možné že (ako si posledne tvrdil) komprimovaný archív bez akéhokoľvek inštalačného skriptu dokázal zmeniť systémovú konfiguráciu aj s binárkami. Ak by to bolo možné, tak sa jedná o vcelku zaujímavý exploit. A ten ma zaujíma, nie tvoje plakanie že sa ti pokazil systém a ty za to nemôžeš.

[rastos]

Nainštaloval si niečo niekam. Popravde nemám jasno v tom čo a kam. Inštalácia znamená, že sa stiahne z repozitára "archív" a ten sa rozbalí. Ten archív, čo sa stiahne, obsahuje množinu súborov a adresárov. Pri ich rozbaľovaní sa použije aj informácia o tom, kto ten-ktorý súbor/adresár vlastní a aké sú prístupové práva. Tiež sa spravidla spustí nejaký skript. Tá informácia o vlastníkoch/právach sa môže použiť len ak rozbaľovanie robí niekto s dostatočnými právami meniť vlastníka/grupu/práva. Informácia o vlastníkoch(a grupách) ja zapísaná ako číslo (id užívateľa/grupy). Ak tvoj systém také id nepozná, tak si viem predstaviť, že nejaká nástroj (file manager?) zobrazí "neznámá skupina". Napr. príkaz "ls" má prepínač "-n", ktorý hovorí, že má vypísať to id ako číslo a nesnažiť sa ho preložiť na meno. (Tiež má prepínač "-l", ktorý hovorí, že má vôbec práva, vlastníka a skupinu vypisovať a prepínač "-d", ktorý hovorí, že má vypísať informácie o adresári samotnom a nie o jeho obsahu.).

K tomu aby sme mohli povedať niečo konkrétne, potrebujeme vedieť čo si nainštaloval, akým nástrojom, pod akým užívateľom, atď. Napísať "aktualizaci VB" nie je užitočné, keď nevieme, ktorú (akú verziu), z akého repository (URL) atď

Keby mi za to niekto platil, tak si celý ten scenár reprodukujem tu a odsledujem. Ale uznaj, že doterajšie informácie na to rozhodne nestačia. Takže ani tie prachy by nepomohli.

Virtualbox instaluji normálně z repozitáře a VBox Guest Additions stáhnu ze stránky Virtualboxu. Otevřu Virtualbox a toto stažené rozšíření nainstaluji.

To mi nedáva zmysel. VBox Guest Additions je vec, čo sa inštaluje do toho virtualizovaného systému. Nie do systému, ktorý beží na reálnom HW. Ten virtualizovaný OS je čo? K zmene práv dôjde po inštalovaní VirtualBox-u, alebo po inštalovaní VBox Guess Addtions? K zmene práv dôjde v tom virtualizovanom systéme alebo v tom, ktorý beží na reálnom HW? Aké id vlastníka/skupiny má ten adresár keď je to "nesprávne"?

[Josef Dušek]

jak jsem psal výše spletl jsem se a šlo o VirtualBox 7.1.8 Extension Pack, který k instalaci rozšíření potřebuje rootovská práva. Občas se stane že heslo přihlášení roota nezobrazí a pochopitelně ext pack nainstalovat nejde.

To mě upozorní že je /usr složka nastavena jako uživatel (josef) a skupina je označena jako neznámá skupina. Náprava je jednoduchá oboje nastavit jako vlastníka a skupinu na root a je vše v naprostém pořádku. Včera jsem porvé zjistl že i /etc je špatně. Ten ext pack asi na vině nebude protože když nejde nainstalovat a nechce práva roota již je špatně nastavení /usr. Asi se nedá zjistit co, nebo který program to způsobuje? Asi jedinou možností je že to příště budu sledovat nějaký čas bez instalace VB. Po čisté instalaci s několika běžnými programy je to ok.

[Peter Golis]

To by ma zaujímalo ako Extension Pack môže potrebovať ku inštalácii rozšírení práva roota, keď sám je rozšírením a nie je to samoinštalovateľný balík.

Ten extpack ku bežnej práci s virtualboxom nepotrebuješ. Aké máš špeciállne požiadavky na prácu s virtuálku, keď ho nutne musíš inštalovať, a ako tú inštaláciu vykonávaš keď sa ti potom zmenia práva časti operačného systému mimo užívateľský adresný priestor?

Asi nijak, že?

[včera 12:05 Josef Dušek]

Opravdu nevím jestli má cenu na tvoje dotazy vůbec reagovat! Napsal jsem že mám pouze podezření na Virtualbox. Dále jsem napsal výše že to Extension pack konkrétně asi nedělá, protože když nejde nainstalovat /nechce heslo roota a skončí chybou (už je v /usr vlastnictví špatně) a musím to správně nastavit na root:root

To že nevíš že VŽDY instalace Extension Packu v každé distribuci co jsem provozoval https://www.virtualbox.org/wiki/Downloads potřebuje k instalaci rootovská práva svedčí o tom že jsi Virtualbox asi nikdy nepoužíval.

Zeptám se tedy jinak bez toho podezření na VB: Jak bez neustálé kontroly zjistím že mi NĚCO zmenilo vlastníka a skupinu v /usr případně /etc??? Namátková kontrola ukáže že práva jsou ok. Většinou to zjistím až když je nějaký problém tak jdu skoro najisto...

[rastos]

Jak bez neustálé kontroly zjistím že mi NĚCO zmenilo vlastníka a skupinu v /usr případně /etc???

Audit. Osobne som to nikdy nepoužil.

[včera 13:29 Josef Dušek]

rastos: Je to díky tobě vyřešené. Moc děkuju za dobrou radu. Dokonce je obsažen v mojem distru. To jsem zvědavý co to způsobuje

[včera 13:38 X]

Neni to vyresene.

[Peter Golis]

Pokiaľ považuješ výraz "několikrát se mi stalo že po instalaci Virtualboxu mi nešlo doinstalovat rozšíření" za identický s "mám pouze podezření na Virtualbox", tak by ma skutočne zaujímal aj tvoj jazykový model. Nielen ten exploit.

Ono to "po instalaci Virtualboxu" je rovnaká časová značka ako "po veľkej noci".

A s tým auditom by si si musel vytvoriť pravidlo ktoré by zalogovalo takú zmenu a sériu procesov ktorá ju vykonala. Alebo takú zmenu zakáž pomocou selinux.

[Aleš Kapica]

Jak bez neustálé kontroly zjistím že mi NĚCO zmenilo vlastníka a skupinu v /usr případně /etc?

Na to existuje mraky způsobů, ale obávám se, že na to abys je aplikoval nemáš. Protože chceš, abys byl na změnu upozorněn, jenže sám nevíš jakým způsobem.

Na tvůj problém tak existuje pouze jedna rada: NAUČ SE ČÍST LOGY!

[rastos]

Aleš, ja málokedy vnímam kto otázku/komentár napíše, ale mám pocit, že ty si sa s Jozefom strašne pohádal pre nejakú kravinu a teraz ťa rozčuľuje už len keď vidíš jeho meno

Daj trocha zapršať z tých mrakov spôsobov.

Neviem povedať či auditd povie niečo užitočné. Z princípu by mohol. Ale ešte som nestretol systém kde by to bolo nasadené a preto neviem, ako to vyzerá, keď to funguje. Existuje napr. inotify (inotifywait) ale ten mi nepovie ani proces, ktorý to spravil ani užívateľa, ktorý ho spustil. Ešte horšie ak ten proces, čo to spraví, existuje len okamih. Existuje port "process monitor"-u od niekdajšieho SystInternals a teraz MS, ale to sa mi z princípu prieči. Existuje apparmor, ale nastaviť ho tak, aby dal odpoveď a neublížil, môže byť pre laika náročné. Čo ešte máš v tom mraku spôsobov?

[Heron]

Dvě minuty browsení (přeci jen si nepamatuji všechy options co má bash) a máš řešení – v tomhle případě je to navěšené na změnu skupiny vlastníka:

while true ; do [ $(stat -c %g /tmp/hokus) -eq 0 ] && sleep 1 || break ; done

Takže místo /tmp/hokus si nastav co chceš hlídat a za to si pak dej co chceš aby to udělalo.

Zabralo to 5 minut, včetně psaní tohoto textu, za použití vlastního mozku a bez berliček od nějaké AI

[Aleš Kapica]

Stačila tahle kapka?

Nebo chceš konkrétnější příklad? Tohle hlídá jméno uživatele a výsledek vybleje v okamžiku přerušení do systémového logu, takže máš k dispozici čas a můžeš si klíďo odchytit i konkrétní proces, pokud nevíš ve kterém logu co hledat.

~# ls -ald /tmp/hokus/
drwxrwxr-x 2 user www-data 40 29. dub 15.22 /tmp/hokus/
~# while true ; do [ "$(stat -c %U /tmp/hokus)" == "user" ] && sleep 1 || break ; done && stat /tmp/hokus >> /dev/kmsg

Mezitím na jiné konzoli..

~# chown www-data /tmp/hokus
~# dmesg | tail -50
...
[24340.754434]   Soubor: /tmp/hokus
               Velikost: 40             Bloků: 0          I/O blok: 4096   directory
               Zařízení: 0,43   I-uzel: 140         Odkazů: 2
                  Práva: (0775/drwxrwxr-x)  UID: ( 1001/    user)   GID: (   33/www-data)
                    Přístup: 2025-04-29 15:36:12.048924529 +0200
               Změna obsahu: 2025-04-29 15:22:59.798972688 +0200
               Změna i-uzlu: 2025-04-29 15:46:01.357514370 +0200
                      Vznik: 2025-04-29 15:22:59.798972688 +0200
[24380.968957]   Soubor: /tmp/hokus
               Velikost: 40             Bloků: 0          I/O blok: 4096   directory
               Zařízení: 0,43   I-uzel: 140         Odkazů: 2
                  Práva: (0775/drwxrwxr-x)  UID: ( 1001/    user)   GID: (   33/www-data)
                    Přístup: 2025-04-29 15:36:12.048924529 +0200
               Změna obsahu: 2025-04-29 15:22:59.798972688 +0200
               Změna i-uzlu: 2025-04-29 15:46:01.357514370 +0200
                      Vznik: 2025-04-29 15:22:59.798972688 +0200
[24394.003154]   Soubor: /tmp/hokus
               Velikost: 40             Bloků: 0          I/O blok: 4096   directory
               Zařízení: 0,43   I-uzel: 140         Odkazů: 2
                  Práva: (0775/drwxrwxr-x)  UID: ( 1001/    user)   GID: (   33/www-data)
                    Přístup: 2025-04-29 15:36:12.048924529 +0200
               Změna obsahu: 2025-04-29 15:22:59.798972688 +0200
               Změna i-uzlu: 2025-04-29 15:46:01.357514370 +0200
                      Vznik: 2025-04-29 15:22:59.798972688 +0200
[24418.122148]   Soubor: /tmp/hokus
               Velikost: 40             Bloků: 0          I/O blok: 4096   directory
               Zařízení: 0,43   I-uzel: 140         Odkazů: 2
                  Práva: (0775/drwxrwxr-x)  UID: (   33/www-data)   GID: (   33/www-data)
                    Přístup: 2025-04-29 15:36:12.048924529 +0200
               Změna obsahu: 2025-04-29 15:22:59.798972688 +0200
               Změna i-uzlu: 2025-04-29 15:48:52.314327079 +0200
                      Vznik: 2025-04-29 15:22:59.798972688 +0200

... ale mám pocit, že ty si sa s Jozefom strašne pohádal pre nejakú kravinu a teraz ťa rozčuľuje už len keď vidíš jeho meno

Mne pro změnu rozčiluje, když někdo mele furt dokola, že mu něco nefunguje, aniž by si vzal k srdci to co jsem mu napsal. Zvěrokleštička také používá VirtualBox, ale hlavně – když jí řeknu co by měla udělat, tak to udělá. Protože se hned zkraje poučila, že je lepší problém konzultovat dřív, než jsou data v prdeli.

[k3dAR]

celkem se v tom stracim, ale mem bych 1 reseni, vykasli se na VirtualBox a nainstaluj virt-manager
krome jineho, nepotrebuje zadny extension pack, aby si mohl USB, WebCam, atd z fyzickeho stroje priradit do virtualu, ani pro remote pristup atd, vse to umi rovnou, jen pro UEFI podporu doinstalovat ovmf...

[Josef Dušek]

Díky za radu pokud zjistím že to má na svědomí VB přejdu na tento sw.

[včera 07:38 A]

Arch nemá extpack mezi svými balíčky, že ho stahuješ a instaluješ ručně?

[včera 12:08 Josef Dušek]

Má, ale nikdy mi správně nechtělo fungovat usb3.