schräger shellscript

[joshi]

hallo,

ich muss für eine hü folgenden shellcode "analysieren":

Code: Alles auswählen

#!/bin/bash
:(){ :|:& };:

ich habs mal in einer virtuellen ausgeführt, aber das einzige, was er mir da ausgegeben hat war (meines erachtens nach) meine pid. danach
ist die maschine eingefrohren.
da ich keine ahnung habe, wie ich da jetzt anfangen soll, wäre ich über einen tipp dankbar. evtl. regex?

danke schonmal,
joshi

[Kaper]

Irgendwie kommt mir das doch bekannt vor:

Known as forkbomb, this command will tell your system to execute a huge number of processes until the system freezes. This can often lead to corruption of data.

Siehe auch: http://debianforum.de/forum/viewtopic.php?f=15&t=105333


Gruss, Dirk

[lhfloss]

Hi!
Ich hab das mal Zeilenweise abgetippt:

Code: Alles auswählen

:() {
:|:& }
:

Der Doppelpunkt ist der Name einer Funktion. Vielleicht wirds ersichtlicher, wenn man den durch einen "richtigen" Funktionsnamen ersetzt:

Code: Alles auswählen

func() {
func | func & }
func

Die Funktion ruft sich immer wieder selbst auf, was das Einfrieren des Systems verursacht. Mehr dazu hier

Gruß, /root!

[joshi]

WOW - 7 minuten später 2 so feine antworten!

vielen dank, ich hätt mir da glaub ich nen wolf gesucht...

mfg
joshi

[Duff]

Hätte ich so auch nicht gesehen, aber wenn man es umschreibt bzw. leslicher gestaltet (sowie /root es gemacht hat), kommt man dahinter.
Nicht schlecht.

[joshi]

kurz noch für mein verständnis:

ich definiere mir mit func () {.......} eine function mit dem inhalt func | func &. also was rekursives.
nur bin ich mir nicht ganz sicher bei den aufrufen: func wird mit | in das zweite func & gepipet. func & gibt mir meine pid aus. sehe ich das richtig?das letzte func dann ruft schlussendlich die funktion auf.

func() {
func | func & }
func

beste grüße
joshi

//edit; und noch eine frage: warum ist der doppelpunkt der name der funktion? ist das was linux- oder bashinternes, oder woher kommt das?

[Meillo]

//edit; und noch eine frage: warum ist der doppelpunkt der name der funktion? ist das was linux- oder bashinternes, oder woher kommt das?

Die Zeile ist eine Fork-Bombe: Es werden ständig weitere Prozesse erzeugt, bis das OS nicht mehr mitkommt. Das soll natürlich unleserlich sein und cool (und harmlos) aussehen, sonst würde es ja niemand starten.

[joshi]

danke für eure hilfe!
hat mir sehr geholfen!

[rendegast]

Kann mit Setzen eines harten Limits in /etc/security/limits.conf (oder alternativem Wege) ausgebremst werden:

Code: Alles auswählen

# Limit user processes
*   soft    nproc   1555
*   hard    nproc   2055

(Tip: Durch Setzen von Zahlen ungleich n^2 (EDIT Gnagna "2^n") kannst Du bei 'ulimit -a' selbst gesetzte Limits leichter von SystemLimits unterscheiden)

[joshi]

hallo rendegast.

das setzen von limits habe ich gestern bei meinen recherchen schon gefunden. aber vielen dank für den tip mit !n^2, daran hätte ich nicht gedacht. man lernt einfach nie aus - schön ist das

[Spasswolf]

Ihr meint 2^n, oder?

[Duff]

Denke schon.