sudo proxychains versus proxychains sudo: waarom de volgorde uitmaakt

Deze opdrachten hebben niet dezelfde uitvoeringsgrens:

proxychains4 sudo command
sudo proxychains4 command

Proxychains-ng zorgt ervoor dat een bibliotheek in het doelprogramma wordt voorgeladen. Op Linux roept het uitvoeren van een set-user-ID-programma zoals sudo loader-beveiligingsregels aan die de relevante variabelen voor het laden van bibliotheken verwijderen voordat sudo ze kan behouden.

Daarom is “meer omgeving behouden” geen betrouwbare oplossing om sudo binnen de wrapper te plaatsen. De sudoers-handleiding beschrijft expliciet dat variabelen zoals LD_* worden verwijderd voordat sudo begint.

Als een opdracht echt het doelaccount vereist, start de wrapper dan in die geautoriseerde context. Controleer vervolgens welke configuratie hij leest: sudo kan HOME, PATH en het toepasselijke bestand per gebruiker wijzigen. Een werkende aanroep zonder privileges bewijst niet dat root dezelfde proxylijst heeft gekozen.

Geef de voorkeur aan de eigen proxy-interface van het programma als die er is. Dat voorkomt dat je voor een verzoek dat het programma al kan routeren, afhankelijk bent van onderschepping.

Houd ook de dekkingsgrenzen van proxychains in het oog. Het opstartbericht bewijst dat de wrapper is gestart; het bewijst niet dat onbewerkte pakketten, niet-ondersteunde aanroepen of een apart gestart bestaand applicatieproces zijn bibliotheek hebben gebruikt. Controleer de netwerkbewerking die je wilde proxyen, in plaats van rootrechten te zien als bewijs dat elke bewerking is onderschept.