python、php、perl等密码管理工具——密码管理器
挑战
我需要一个密码管理工具,它将被其他进程(各种脚本:python、php、perl等)调用,它将能够识别和验证调用方脚本,以便执行访问控制:返回密码或退出-1
(资料图)
当前实现
在研究了各种框架之后,我决定使用python的keepassdb,它能够处理Keepass V1.X后端数据库文件并构建自己的访问控制覆盖层(因为这可以在以后被定制并集成到LDAP中以供用户/组访问)。访问控制是通过重载每个条目的notes字段来完成的,以包括允许访问密码的SHA-256哈希列表。(请注意,这也会验证脚本是否被任何人更改)
使用-p参数调用密码管理器,该参数是被调用方脚本/应用程序的PID,将执行以下步骤:从它自己的PID开始递归地“向上”查找并寻找父对象。在到达进程1之前,必须找到调用方PID,该进程是父进程0的init。这样我们就可以确定谁调用了这个密码管理器实例。在
获取该(父)进程的完整命令行并分析它,寻找脚本语言,包括python、perl、php、bash、bat、groovy等(为此使用shlex)
找出脚本的绝对路径并计算其SHA
将其与数据库值进行比较,看看是否存在,如果存在,则允许脚本具有以标准格式返回的stdout中的密码。否则,用-1退出。在
问题
上面的实现对于合法脚本很好地工作,但是很容易混淆它。让caller.py是一个允许访问特定项e的脚本。运行它的命令行看起来像python /path/to/caller.py arg1 arg2。解析命令行的代码是:cmd = walk_ppids(pid)
lg.debug(cmd)
if cmd is False:
lg.error("PID %s is not my parent process or not a process at all!" % pid)
sys.exit(-1)
cmd_parts = shlex.split(cmd)
running_script = ""
for p in cmd_parts:
if re.search("\.(php|py|pl|sh|groovy|bat)$", p, re.I):
running_script = p
break
if not running_script:
lg.error("Cannot identify this script"s name/path!")
sys.exit(-1)
running_script = os.path.abspath(running_script)
lg.debug("Found "+running_script)
phash = hash_file(open(running_script, "rb"), hashlib.sha256())
父进程的命令行通过以下方式获取:
^{pr2}$
现在,混淆上述函数的最简单方法是创建一个不带.sh扩展名的shell脚本,该扩展名将caller.py作为第一个参数。sh不使用其参数,而是调用密码管理器查询条目e。命令行看起来像fake_sh ./caller.py,因此上面的代码返回pass。。。这样做是错误的。在
问题
有人会认为这是很久以前解决的一个常见问题,没有程序员对脚本/应用程序进行硬编码,但我做了几天的研究,似乎没有找到任何类似的方法。我明白这个问题是开放式的,所以我接受以下问题的答案:我是在重新发明轮子吗?有没有一个框架/软件可以做类似的事情?在
依靠PIDs,这是正确的方法吗?还有别的办法吗?在
在实现方面,是否可以改进发布的代码,使其更健壮,而不是那么容易混淆?(shlex分析部分)
标签:
相关推荐:
最新新闻:
- 天天通讯!苏宁6600万美元收购红孩子 母婴网购市场致命缺点曝光
- python、php、perl等密码管理工具——密码管理器
- 如何自学编程的?机械专业转java方向面经总结-热点
- 单复韵母有哪些?单韵母、鼻韵的韵母分别是哪些?_快看
- win10更新魔兽世界没反应怎么办?怎么解决?
- 【全球时快讯】为什么7805可输出5V电压?稳压集成7805的作用
- 电脑怎么取消开机密码?电脑取消开机密码的流程
- 全球新消息丨如何获取免费的Spire.Pdf.dll?使用免费的Spire.Pdf.dll打印无水印的PDF文件
- 为什么自制脚本语言是编程语言的最高境界?《自制编程语言》郑钢著
- 软件企业ISO9000质量体系与CMM比较分析介绍【详解】 焦点要闻
- 抢购红米手机的方法有哪些?抢购方法和注意事项-世界快报
- 焦点信息:安卓7.0正式版怎么刷?ADBsideload刷机流程
- 女子超市遇到电动购物车:30分钟5块钱 只能成人骑 快资讯
- 当前速看:安卓手机开机如何加速?如何提高开机效率?
- 天天即时:三星r467重装系统教程 让你的电脑焕然一新
- 当前滚动:wcdma是什么意思?WCDMA是什么网络?详细介绍
- 如何删除别人在自己主页的访问记录?删除方法步骤
- 三星9018如何刷机?三星9018的刷机步骤_全球今日报
- 最新快讯!康佳手机型号有哪些?康佳手机型号大全介绍
- 道闸遥控器怎么对?道闸遥控器的使用方法和知识
- 北京工商登记怎么注册申请?北京工商登记app使用流程-全球通讯
- 微信怎么用医保缴费?微信医保缴费方法教程
- 飞利浦w635怎么刷机?飞利浦w635刷机教程详细步骤-全球今热点
- 孕妇可以使用打印机吗?孕妇用复印机的影响有哪些?
- 高德地图导航怎么开启速度最快?高德地图导航开启速度最快方法
- 讯息:dnf副职业哪个最赚钱?炼金术士这个副赚钱
- 天天热推荐:qq飞车网名大全-QQ飞车情侣名字
- 每日精选:12306汽车票提前多久开售?12306汽车票开售时间
- 数字电视调制器如何安装?数字电视调制器的安装方法介绍
- e派手机是杂牌手机吗?e派手机详情介绍
- 投影仪什么牌子好?市面上投影仪品牌有哪些?-焦点热讯
- 全系搭载突破性潜望长焦,OPPO Find X6 系列定档3月21日
- 苹果官方正式支持八位堂手柄|即时
- 秦岚手机壳冲上微博热搜榜第一
- 大学生23万网购凯迪拉克:开两月就冒烟了
- 快来抢!松下G7微单再度上架开售:价格比发布时便宜一半 仅需2398元-今日观点
- 《漫威SNAP》将推出新竞技模式“征服”:快报
- 部分玩家PS4更新后变砖!系统卡死完全不能使用
- 罗永浩任董事长的公司拟注销:锤子科技持股70% 环球报资讯
- 全球观热点:尼尔:《最后的生还者》HBO第二季已经在路上了
- 极米牵头制定国内首个投影机行业亮度标准CVIA再度打击亮度虚标
- 6699元,戴森空气净化耳机上架,既是降噪耳机,也是空气净化“口罩”:今日观点
- 不同种类的笔记本电脑键盘有哪些优缺点?笔记本键盘优缺点解析 世界快播报
- 如何挑选数码相机?数码相机的基本性能有哪些?:全球播报
- 电脑端的explorer对话框为什么很慢?解决方法是什么?
- 天天微动态丨约5837元起!MNT Pocket Reform迷你笔记本电脑发布:7英寸屏、Linux系统
- 【教程】Devteam最新破解工具终于出炉了
- 2021年国家开放大学计算机网络(本)试题及答案 世界观察
- 微视频在计算机信息技术教学中的作用及特点 你知道多少? 热消息
- 沉浸追剧并不难 三星Galaxy S22系列带来身临其境观影体验_全球聚看点
- 不同种类的笔记本电脑键盘有哪些优缺点?笔记本键盘优缺点解析 世界快播报
- 怎么用安卓手机给u盘加密?安卓手机给u盘加密的方法
- 【数据分析】获取设备唯一标识符的方法:每日消息
- 焦点快报!如何用Google在线翻译引擎实现多国语言互译?详情介绍
- LOL服务器连接异常如何解决?LOL服务器连接异常的解决方法_环球信息
- 当前播报:realtekhdaudio装不上驱动的问题如何解决?解决方法步骤
- 【教程】Devteam最新破解工具终于出炉了
- 2021年国家开放大学计算机网络(本)试题及答案 世界观察
- 世界今日讯!感人的校园爱情故事——伤感日志分享
- 电脑端的explorer对话框为什么很慢?解决方法是什么?
- 《宫锁连城》剧情大曝光 琼瑶批于正抄袭《梅花烙》
- 速讯:北京移动动感地带到底是怎么收费的?详情介绍
- 如何挑选数码相机?数码相机的基本性能有哪些?:全球播报
- 热血无赖怎么使用计算机?Win7系统进不去热血无赖游戏如何解决?
- 世界消息!磁盘管理器里面看不到新硬盘怎么办?解决措施如下
- 今日热文:济宁生育津贴审核通过后多久到账?
- 即时焦点:尼尔官宣!《最后生还者》第二季已开始制作
- 《暗黑破坏神4》向系列前作致敬 更有暗黑味道 全球快看
- 世界微头条丨末日生存名作 《大灾变:黑暗之日》上架steam
- 环球百事通!《寂静岭2:重制版》给护士穿上黑丝 是因为原版露肉太多
- 首位女性艾滋病“治愈者”研究细节公布 脐带血中移植干细胞-信息
- 国际黄金价格逼近2000美元大关!接近历史高点
- 全球速讯:离开EA后 战地先生成立全新工作室TTK GAMES
- 《偶像大师 闪耀色彩》游改TV动画公开 2024年春开播
- 传闻称乐高赛车游戏《LEGO 2K Drive》正在开发中
- 沪深两市融资余额减少12.17亿元_全球观速讯
- 微信底栏新增“视频号”入口?腾讯回应绝了-世界速看
- 微软:动视暴雪不是PS最大的第三方 EA才是:环球观察
- 微软:EA才是PS最大的第三方发行商 而非动视暴雪
- 消息称开放世界大金刚新作与任天堂新主机同步发售
- 全员尖下巴《学园帅哥》改编像素风动作游戏
- 【环球报资讯】安徽香榭里园林景观工程有限公司
- 焦点短讯!领英可以AI写简历、招聘信息
- 数码单反用SSD存储?转接器来了-全球即时
- 头盔定期换 雅迪3C头盔只要49元