一区二区三区三上|欧美在线视频五区|国产午夜无码在线观看视频|亚洲国产裸体网站|无码成年人影视|亚洲AV亚洲AV|成人开心激情五月|欧美性爱内射视频|超碰人人干人人上|一区二区无码三区亚洲人区久久精品

0
  • 聊天消息
  • 系統(tǒng)消息
  • 評(píng)論與回復(fù)
登錄后你可以
  • 下載海量資料
  • 學(xué)習(xí)在線課程
  • 觀看技術(shù)視頻
  • 寫文章/發(fā)帖/加入社區(qū)
會(huì)員中心
創(chuàng)作中心

完善資料讓更多小伙伴認(rèn)識(shí)你,還能領(lǐng)取20積分哦,立即完善>

3天內(nèi)不再提示

Linux系統(tǒng),居然被兩個(gè)不懂任何技術(shù)的小孩“攻破”了

Linux愛好者 ? 來源:Linux愛好者 ? 作者:量子位 ? 2021-02-02 11:31 ? 次閱讀
加入交流群
微信小助手二維碼

掃碼添加小助手

加入工程師交流群

Linux系統(tǒng),居然被兩個(gè)不懂任何技術(shù)的小孩“攻破”了。

他們只是在鍵盤和屏幕上一通亂按,就輕松繞過密碼,進(jìn)入了被鎖定的Linux系統(tǒng)桌面。

最近,一位程序員父親就這樣,眼睜睜地看著自己的電腦被孩子“玩壞”。

作為一名程序員,他首先想到的不是打罵孩子,而是——如何復(fù)現(xiàn)漏洞。

他發(fā)現(xiàn)這個(gè)漏洞確實(shí)是孩子亂按導(dǎo)致的,在某些特殊按鍵組合下,Linux的屏幕鎖定進(jìn)程會(huì)崩潰,從而繞過了密碼。

也就是說,只要有人知道了這個(gè)漏洞,無需密碼就可以偷偷打開別人已經(jīng)鎖定的Linux電腦。

他將情況反饋到官方GitHub上,最終這個(gè)奇怪的漏洞上周被正式修復(fù)了。

但這并不能讓程序員們放心,這些年因Linux桌面進(jìn)程崩潰導(dǎo)致的安全漏洞層出不窮,屢見不鮮,你永遠(yuǎn)不知道下一個(gè)bug會(huì)是什么。

孩子們“亂殺”的桌面系統(tǒng)漏洞

這兩個(gè)小孩,是怎么“發(fā)現(xiàn)”這一漏洞的呢?

這位程序員父親將自己的電腦鎖定后,孩子們試圖解鎖它,就開始在電腦鍵盤上瞎打。

突然,屏保界面消失,孩子們成功進(jìn)入了Linux系統(tǒng)。

什么?連密碼都沒有輸入?

他讓他們再演示一次。這次,孩子們同樣做到了,但依舊只是“亂敲”鍵盤而已。

太奇怪了。

他在兩個(gè)小孩離開后,自己又悄悄地試了一下,沒能成功。

不過他認(rèn)為,這肯定是個(gè)漏洞,因?yàn)橐呀?jīng)親眼見過兩次了。

這位程序員父親所用的桌面系統(tǒng)是Cinnamon(Linux桌面環(huán)境之一),他推測,Cinnamon是不是有什么奇怪的bug,在不輸入密碼的情況下也能解鎖桌面。

當(dāng)天晚上10點(diǎn)半,他在Linux Mint的GitHub頁面上反饋了這一bug,并描述了孩子們敲擊鍵盤的場景:

他們同時(shí)按下了物理鍵盤和屏幕虛擬鍵盤,而且,盡量多按一些虛擬鍵盤。

消息一出,馬上就有網(wǎng)友表示,自己同樣遇到了這種問題,而且用的桌面系統(tǒng)也是Cinnamon。

隨后,Linux Mint程序員火速趕往現(xiàn)場。

檢查后發(fā)現(xiàn),這的確是一個(gè)bug,而且Cinnamon 4.2以上的桌面系統(tǒng),都會(huì)受到影響,因?yàn)檫@一版開始支持屏幕虛擬鍵盤了。

導(dǎo)致這個(gè)bug的具體行為是:長按“e”鍵,并在虛擬鍵盤上選中“ē”。

現(xiàn)在,Linux Mint已經(jīng)為這個(gè)漏洞推出了一個(gè)新補(bǔ)丁,不過需要自己手動(dòng)安裝。

人生苦短,不如用KDE(手動(dòng)狗頭)。

大神:17年前我就警告過他們

對(duì)于如此荒謬而簡單的漏洞,自然引起各路程序員對(duì)Linux桌面的吐槽。

關(guān)于這個(gè)問題的GitHub issue頁面都被程序員們玩壞了。

有人說:這個(gè)CVE應(yīng)該歸功于孩子們…

還有人在回帖中發(fā)個(gè)表情包:我想程序員們應(yīng)該會(huì)這樣復(fù)現(xiàn)bug。

但要論吐槽最狠的,還是著名程序員大神jwz。

今天凌晨,這位大神又雙叒叕發(fā)了一篇文章來吐槽此事,標(biāo)題是《我已經(jīng)告訴過你們之2021版》。

因?yàn)樵缭?7年前,他就警告過Cinnamon和GNOME官方:

如果沒有在Linux上運(yùn)行XScreenSaver,那么可以你的屏幕就相當(dāng)于沒有鎖定。

之后每隔幾年,jwz都會(huì)出來把這段話再說一遍。

jwz還調(diào)侃說:“翻車”一次是偶然,兩次是巧合,三次是敵人的破壞,四次是GNOME官方。

而這四次安全漏洞,jwz都有詳細(xì)的記錄:

CVE-2019-3010,從Oracle Solaris屏幕保護(hù)程序可以獲得特殊權(quán)限升級(jí);

CVE-2014-1949, MDVSA-2015:162:在Cinnamon屏幕保護(hù)程序中按菜單鍵,再按ESC鍵,就可以進(jìn)入shell;

按住向下鍵,解鎖Cinnamon屏幕保護(hù)程序;

按住回車鍵,解鎖GNOME屏幕保護(hù)程序。

修bug引發(fā)的新漏洞

導(dǎo)致Linux Mint漏洞是由于3月前修復(fù)另一個(gè)bug引起的。

這個(gè)漏洞存在于Linux顯示服務(wù)xorg-x11-server中,其最大威脅是對(duì)數(shù)據(jù)機(jī)密性和完整性以及系統(tǒng)可用性的威脅。

更讓人哭笑不得的是,Ubuntu 20.04在向后移植xorg的時(shí)候,由于使用了沒有該bug的1.20.9版,反而逃過一劫。

當(dāng)Ubuntu的開發(fā)人員意識(shí)到?jīng)]有打上CVE-2020-25712補(bǔ)丁后,他們又中了新的漏洞。

結(jié)果就是,xorg更新修復(fù)以后,任何人都可以讓屏幕鎖定程序崩潰,然后進(jìn)入桌面。

無獨(dú)有偶,這不禁讓人想起GNOME兩個(gè)月前的另一個(gè)“低級(jí)”漏洞。

一位程序員通過將賬戶服務(wù)陷入無限循環(huán),使GNOME的賬戶守護(hù)程序崩潰。之后就能在鎖定界面添加新的sudo用戶,并獲取root權(quán)限。

這個(gè)鍋該讓GNOME來背嗎?jwz認(rèn)為,歸根結(jié)底是因?yàn)楝F(xiàn)在的Linux圖形化界面根基X11存在著不可修復(fù)的嚴(yán)重問題:

1、鎖定和身份驗(yàn)證是操作系統(tǒng)級(jí)別的問題。

盡管X11是Linux計(jì)算機(jī)操作系統(tǒng)的核心,但它的設(shè)計(jì)沒有安全性可言,鎖定程序必須以普通的、非特權(quán)的用戶級(jí)應(yīng)用程序一樣運(yùn)行。

2、X11體系結(jié)構(gòu)的這一錯(cuò)誤永遠(yuǎn)無法修復(fù)。

X11太舊、太僵化,并且有太多利益相關(guān)者無法對(duì)它進(jìn)行任何有意義的更改。這就是為什么人們不斷嘗試替換X11的原因并失敗了,因?yàn)樗畹俟獭?/p>

雖然現(xiàn)在有Wayland作為X11的替代品,但仍有網(wǎng)友替換為Wayland后,Ubuntu桌面依然存在某些缺陷。

比如喚醒電腦后,會(huì)在原來的桌面停留10~20秒才能進(jìn)入鎖屏狀態(tài),這個(gè)過程中桌面的隱私會(huì)一覽無余。

鑒于Linux桌面的安全性問題漏洞百出,為了防止未被發(fā)現(xiàn)漏洞遭利用,有用戶建議先安裝XSecureLock,多上一把鎖。

我熱切期待著聽到他們?nèi)绾谓鉀Q這個(gè)問題。

jwz在自己的博客里如是說。

責(zé)任編輯:xj

原文標(biāo)題:“熊孩子”亂敲鍵盤就攻破了 Linux 桌面,大神:17 年前我就警告過你們

文章出處:【微信公眾號(hào):Linux愛好者】歡迎添加關(guān)注!文章轉(zhuǎn)載請(qǐng)注明出處。

聲明:本文內(nèi)容及配圖由入駐作者撰寫或者入駐合作網(wǎng)站授權(quán)轉(zhuǎn)載。文章觀點(diǎn)僅代表作者本人,不代表電子發(fā)燒友網(wǎng)立場。文章及其配圖僅供工程師學(xué)習(xí)之用,如有內(nèi)容侵權(quán)或者其他違規(guī)問題,請(qǐng)聯(lián)系本站處理。 舉報(bào)投訴
  • Linux
    +關(guān)注

    關(guān)注

    87

    文章

    11511

    瀏覽量

    213815
  • 操作系統(tǒng)
    +關(guān)注

    關(guān)注

    37

    文章

    7152

    瀏覽量

    125592
  • 桌面
    +關(guān)注

    關(guān)注

    0

    文章

    83

    瀏覽量

    14793

原文標(biāo)題:“熊孩子”亂敲鍵盤就攻破了 Linux 桌面,大神:17 年前我就警告過你們

文章出處:【微信號(hào):LinuxHub,微信公眾號(hào):Linux愛好者】歡迎添加關(guān)注!文章轉(zhuǎn)載請(qǐng)注明出處。

收藏 人收藏
加入交流群
微信小助手二維碼

掃碼添加小助手

加入工程師交流群

    評(píng)論

    相關(guān)推薦
    熱點(diǎn)推薦

    當(dāng)CY7C65215在兩個(gè)通道上配置為 SPI 和 I2C 時(shí),能否在Linux系統(tǒng)中看到兩個(gè)設(shè)備?

    我的客戶想知道,當(dāng) CY7C65215 在兩個(gè)通道上配置為 SPI 和 I2C 時(shí),他能否在 Linux 系統(tǒng)中看到兩個(gè)設(shè)備。
    發(fā)表于 05-26 06:27

    詳解Linux系統(tǒng)中的服務(wù)管理

    Linux中,無論何時(shí)當(dāng)你安裝任何帶有服務(wù)和守護(hù)進(jìn)程的包,系統(tǒng)默認(rèn)會(huì)把這些服務(wù)的初始化及 systemd腳本添加進(jìn)去,不過此時(shí)它們并沒有啟用。
    的頭像 發(fā)表于 05-23 15:10 ?249次閱讀
    詳解<b class='flag-5'>Linux</b><b class='flag-5'>系統(tǒng)</b>中的服務(wù)管理

    ADAU1787四個(gè)ADC、兩個(gè)DAC、帶音頻DSP的低功耗編解碼器技術(shù)手冊

    ADAU1787 是一款具有四個(gè)輸入和兩個(gè)輸出的編解碼器,其中整合兩個(gè)數(shù)字信號(hào)處理器 (DSP)。從模擬輸入到 DSP 內(nèi)核再到模擬輸出的路徑已針對(duì)低延遲進(jìn)行優(yōu)化,適用于噪聲消除耳機(jī)
    的頭像 發(fā)表于 05-12 14:57 ?380次閱讀
    ADAU1787四<b class='flag-5'>個(gè)</b>ADC、<b class='flag-5'>兩個(gè)</b>DAC、帶音頻DSP的低功耗編解碼器<b class='flag-5'>技術(shù)</b>手冊

    Linux系統(tǒng)中最重要的三個(gè)命令

    Linux三劍客是Linux系統(tǒng)中最重要的三個(gè)命令,它們以其強(qiáng)大的功能和廣泛的應(yīng)用場景而聞名。這三個(gè)工具的組合使用幾乎可以完美應(yīng)對(duì)Shell
    的頭像 發(fā)表于 03-03 10:37 ?433次閱讀

    OMAPL137可以連接兩個(gè)左右兩個(gè)通道麥克風(fēng)輸入嗎?

    Hi!大家好!我有一些問題:OMAPL137 Evm 技術(shù)手冊上寫有P4 Microphone In 接口是stereo microphone line input,如下圖。 意思是可以連接兩個(gè)
    發(fā)表于 10-29 06:04

    兩個(gè)開關(guān)電源可以并聯(lián)使用嗎

    兩個(gè)開關(guān)電源并聯(lián)使用是一個(gè)相對(duì)復(fù)雜的話題,涉及到電子電路設(shè)計(jì)、電源管理、安全規(guī)范等多個(gè)方面。 1. 開關(guān)電源的基本原理 開關(guān)電源是一種通過電子開關(guān)元件(如晶體管、MOSFET等)快速切換來控制電流
    的頭像 發(fā)表于 10-09 16:04 ?4812次閱讀

    OPA2277雙運(yùn)放只接穩(wěn)壓電源,兩個(gè)輸出居然有類似方波輸出是怎么回事?

    接線:4接-5V,8接+5V,3、5腳,即兩個(gè)運(yùn)放的正端接GND。2、6腳都接上:1nF電容和100K歐電阻的并聯(lián),C01和C02沒接信號(hào),無其余信號(hào)輸入。。。 用示波器測下,2、6、3、5腳
    發(fā)表于 09-09 08:07

    單相電機(jī)兩個(gè)繞組都在定子上嗎

    單相電機(jī)的兩個(gè)繞組,即起動(dòng)線圈(或稱為輔助繞組、副繞組)和運(yùn)行線圈(或稱為主繞組),都位于定子上 。這兩個(gè)繞組在電機(jī)中起著關(guān)鍵作用,共同協(xié)作以產(chǎn)生旋轉(zhuǎn)磁場,從而使電機(jī)能夠運(yùn)轉(zhuǎn)。 單相電機(jī)通常由一個(gè)
    的頭像 發(fā)表于 09-03 15:10 ?2189次閱讀

    ad如何設(shè)置兩個(gè)元器件的距離

    在Altium Designer(簡稱AD)中設(shè)置兩個(gè)元器件之間的距離,主要是通過設(shè)置元器件間的安全間距(Clearance)規(guī)則來實(shí)現(xiàn)的。這個(gè)規(guī)則定義元器件之間、元器件與走線之間以及其他設(shè)計(jì)元素
    的頭像 發(fā)表于 09-02 15:31 ?1.7w次閱讀

    功放機(jī)AB兩個(gè)聲道輸出怎么接

    聲道輸出可以分別連接到組音箱上,以實(shí)現(xiàn)立體聲效果。這種接線方式簡單直接,適用于大多數(shù)家庭影院和音響系統(tǒng)。 接線步驟: 確認(rèn)接口 :首先,確認(rèn)功放機(jī)AB兩個(gè)聲道輸出的接口類型(如RCA、XLR等)以及音箱的輸入接口類型,確保它們
    的頭像 發(fā)表于 08-23 10:40 ?9354次閱讀

    單穩(wěn)態(tài)觸發(fā)器的兩個(gè)工作狀態(tài)是什么

    單穩(wěn)態(tài)觸發(fā)器是一種數(shù)字邏輯電路,廣泛應(yīng)用于各種電子設(shè)備和系統(tǒng)中。它具有兩個(gè)工作狀態(tài):穩(wěn)定狀態(tài)和暫態(tài)狀態(tài)。 單穩(wěn)態(tài)觸發(fā)器的工作原理 單穩(wěn)態(tài)觸發(fā)器是一種具有兩個(gè)穩(wěn)定狀態(tài)的觸發(fā)器,其中一個(gè)
    的頭像 發(fā)表于 08-22 10:11 ?1162次閱讀

    觸發(fā)器的兩個(gè)穩(wěn)定狀態(tài)分別是什么

    觸發(fā)器作為數(shù)字電路中的基本邏輯單元,具有兩個(gè)穩(wěn)定狀態(tài),這兩個(gè)狀態(tài)通常用于表示二進(jìn)制數(shù)碼中的0和1。
    的頭像 發(fā)表于 08-12 11:01 ?3077次閱讀

    雙穩(wěn)態(tài)電路的兩個(gè)穩(wěn)定狀態(tài)是什么

    雙穩(wěn)態(tài)電路是一種具有兩個(gè)穩(wěn)定狀態(tài)的電子電路,廣泛應(yīng)用于數(shù)字電路、通信系統(tǒng)、存儲(chǔ)器等領(lǐng)域。 雙穩(wěn)態(tài)電路的基本概念 雙穩(wěn)態(tài)電路是一種具有兩個(gè)穩(wěn)定狀態(tài)的電路,即在沒有外部輸入信號(hào)的情況下,電路可以保持在
    的頭像 發(fā)表于 08-11 15:00 ?2643次閱讀

    雙穩(wěn)態(tài)觸發(fā)器的兩個(gè)基本性質(zhì)是什么

    雙穩(wěn)態(tài)觸發(fā)器(Bistable Trigger)是一種具有兩個(gè)穩(wěn)定狀態(tài)的邏輯電路,廣泛應(yīng)用于數(shù)字電路設(shè)計(jì)中。它具有兩個(gè)基本性質(zhì):記憶性和切換性。 一、雙穩(wěn)態(tài)觸發(fā)器的基本概念 1.1 雙穩(wěn)態(tài)觸發(fā)器
    的頭像 發(fā)表于 08-11 10:08 ?1388次閱讀

    雙穩(wěn)態(tài)觸發(fā)器的兩個(gè)穩(wěn)定狀態(tài)是什么

    雙穩(wěn)態(tài)觸發(fā)器的兩個(gè)穩(wěn)定狀態(tài)通常被稱為“0”狀態(tài)和“1”狀態(tài),這兩個(gè)狀態(tài)可以分別用來表示二進(jìn)制數(shù)碼的0和1。具體來說: 0狀態(tài) :在此狀態(tài)下,雙穩(wěn)態(tài)觸發(fā)器的輸出Q為0,而其非輸出(通常表示為Q'或Q
    的頭像 發(fā)表于 08-11 10:05 ?1939次閱讀