Weil Skripte oftmals beides enthalten, den Code und die Konfigurationseinstellungen und letztere werden für gewöhnlich geändert.
Dumm nur, dass keine einzige Distribution die Konfiguration im Skript selbst vornimmt. Sobald es irgendein Paketupdate gibt, wird das Skript nämlich überschrieben. Aus diesem Grund liegen z.B. unter Debian manche Konfigurationsdateien unter "/etc/default".
Oder anders ausgedrückt:
Ein Admin pfuscht nur in absoluten Notfällen an einem Skript herum, welches von der Distribution ausgeliefert wird. Und ein guter Admin schreibt seine Skripte so, dass die Konfiguration außerhalb des Skriptes liegt.
Dann kennst du Slackware nicht. Ich kann mich noch gut an das Skript für die Netzwerkkonfiguration erinnern.
Daran sieht man aber auch schon ein weiteres Problem, die Skripte sind bei fast jeder Distribution unterschiedlich, auch das erschwert ein Whitelisting bzw. führt zu mehr Aufwand, wenn man es durchführen wollte.
Von Verfluchtnochmal_5987109 am Sa, 25. Mai 2019 um 23:23 #
Dumm nur dass das was die distribution als konfigurierbar vorsieht nicht immer das gelbe vom Ei ist während sich mit systemd dropins die Frage überhaupt nicht stellt
Starte mal den Apache ohne root Prozess mit dem scheisshaufen von initscripts, die letzte Sicherheitslücke wo du über das scoreboard root rechte erlangen konntest ist so zB per definition nicht möglich und mit AmbientCapabilities klappt auch das binden auf ports unter 1024
Oder anders ausgedrückt:
Ein Admin pfuscht nur in absoluten Notfällen an einem Skript herum, welches von der Distribution ausgeliefert wird. Und ein guter Admin schreibt seine Skripte so, dass die Konfiguration außerhalb des Skriptes liegt.
Dann kennst du Slackware nicht. Ich kann mich noch gut an das Skript für die Netzwerkkonfiguration erinnern.
Daran sieht man aber auch schon ein weiteres Problem, die Skripte sind bei fast jeder Distribution unterschiedlich, auch das erschwert ein Whitelisting bzw. führt zu mehr Aufwand, wenn man es durchführen wollte.
Dumm nur dass das was die distribution als konfigurierbar vorsieht nicht immer das gelbe vom Ei ist während sich mit systemd dropins die Frage überhaupt nicht stellt
Starte mal den Apache ohne root Prozess mit dem scheisshaufen von initscripts, die letzte Sicherheitslücke wo du über das scoreboard root rechte erlangen konntest ist so zB per definition nicht möglich und mit AmbientCapabilities klappt auch das binden auf ports unter 1024