*Aufschrei*TomL hat geschrieben:28.11.2017 17:24:44allerdings bin ich mir ziemlich sicher, dass jetzt einige entsetzt aufschreien,
xdotool eignet sich zum Ausprobieren.Code: Alles auswählen
root@thomaspc:~
# dpkg -l | egrep "xtest|xdotool" -i
root@thomaspc:~Es kann ein AddOn ein, oder irgend eine Sicherheitslücke im Browser. Es ist keine Neuigkeit, das Browser zu den riskantesten Programmen gehören.TomL hat geschrieben:28.11.2017 17:58:17Wie öffnet ein Addon ein lxterminal ohne das ich das bemerke?
Ist der Umstand, dass ich das (s.o.) gar nicht installiert habe unbedeutend?MartinV hat geschrieben:28.11.2017 18:12:06Mit "xdotool unmap" kann ich ein Fenster verschwinden lassen und weiterhin Tastatureingaben hineinsenden, ohne daß es in der Taskleiste stehen würde.
Vielleicht diskutieren wir auch kurz die Sicherheitslücken (m)einer Apache-Installation mit Zugang vom Internet, den ich auch nicht installiert habe.... die Gefahr kompromittiert zu werden, die vom Apache-Server ausgeht ist zumindest theoretisch viel größer..... oder? 
Ja. xdotool ist nur das shell-Tool, um XTEST zu nutzen. Die XTEST-Funktionen stellt X über das X11-Protokoll jeder Anwendung bereit.TomL hat geschrieben:28.11.2017 18:16:57Ist der Umstand, dass ich das (s.o.) gar nicht installiert habe unbedeutend?
Ich glaube, dass der Weg von einer Sicherheitslücke im Browser zu einem Remote-Desktop erheblich länger ist, als du den einschätzt.MartinV hat geschrieben:28.11.2017 18:12:06Als Kapuzenmann mit gefundener Sicherheitslücke im Browser würde ich abwarten, bis längere Zeit keine Tastatur- oder Mausereignisse von Dir angezeigt werden, um einen Moment abzupassen, wo Du wahrscheinlich mal nicht am Rechner sitzt. Dann root-Terminal anklicken und direkt mit xdotool unmap verschwinden lassen. Mehr als ein kurzes Aufblitzen des Fensters ist nicht zu sehen.
Wenn mir die Lücke z.B. Kontakt mit X über Javascript erlaubt, ist der Weg ziemlich kurz.tobo hat geschrieben:28.11.2017 18:31:59Ich glaube, dass der Weg von einer Sicherheitslücke im Browser zu einem Remote-Desktop erheblich länger ist, als du den einschätzt.
Mir macht's zunehmend Spass: Da sagt einer ``sudo'' und die tollsten, buntesten OT-Threads, die man sich vorstellen kann, entstehen aus dem Nichts.
Zumindest für XTEST ein hello-world-exploit in bash:TRex hat geschrieben:28.11.2017 19:13:15Abseits aller Theorie würde mich zum xtest eine Demo (quasi ein exploit) interessieren, wo das funktioniert.
Code: Alles auswählen
#/bin/bash
# Dieses XTEST Beispiel braucht xdotool, Xephyr und openbox
Xephyr :2 &
sleep 1
DISPLAY=:2 openbox &
sleep 1
xdotool mousemove --window $(xdotool search Xephyr) 10 10 click 3
sleep 1
xdotool mousemove_relative --sync 45 10
sleep 1
xdotool click 1
sleep 1
xdotool type "hello world"
Browser exploits und Javascript sind nicht mein Gebiet. Da bleibt mir nur, den Browserprogrammieren zu vertrauen, daß sie das schon verhindern werden.TRex hat geschrieben:28.11.2017 20:11:42ich meinte eigentlich einen exploit in Bezug auf Javascript
Das wäre doch mal eine gute Maschine für Donald T. Mit sudo (schütteln unten, dellen oben).
Ein Fazit ist einfach. Du hast mit dem deinstall keinesfalls etwas falsches gemacht. Debian ist so ausgestaltet, dass es vorrangig auch ohne sudo funktioniert. Wer es will oder sich der Risiken nicht bewusst ist oder die Risiken aus Überzeugung ignoriert, kann es nutzen....er muss nicht, aber er kann. Und um auf die Eingangsfrage zu kommen, nein, man braucht es nicht um Debian zu benutzen. Hier besteht ein kleiner konzeptioneller Unterschied zwischen Debian, Ubuntu und Mint
... und auch ein Unterschied zum anderen Lieblingsthema: Systemd. Denn da hat man diese Wahlfreiheit nicht in gleicher Weise.TomL hat geschrieben:30.11.2017 10:06:27Und um auf die Eingangsfrage zu kommen, nein, man braucht es nicht um Debian zu benutzen. Hier besteht ein kleiner konzeptioneller Unterschied zwischen Debian, Ubuntu und Mint
)Ich bin mir sicher, dass ich vor längerer Zeit auch Mint ohne Sudo benutzt habe. Ich will damit sagen, man braucht es auch bei Mint nicht. Ich denke bei Ubuntu ist es genauso, möchte da aber nicht zu sachlich werden.TomL hat geschrieben:30.11.2017 10:06:27Und um auf die Eingangsfrage zu kommen, nein, man braucht es nicht um Debian zu benutzen. Hier besteht ein kleiner konzeptioneller Unterschied zwischen Debian, Ubuntu und Mint
Das ist richtig, Ubuntu braucht das auch nicht. Ich habe ne VM, in der das auch entfernt ist. Mir ging's eigentlich eher um den vom Installer gewählten Default-Weg, und da hatte bei U und M root imho zuerst kein Pwd, aber der Installer-User ist in der Gruppe sudo eingetragen. Allerdings ist mir nicht bekannt, ob das in den aktuellen Versionen immer noch so ist.thoerb hat geschrieben:30.11.2017 12:11:05Ich bin mir sicher, dass ich vor längerer Zeit auch Mint ohne Sudo benutzt habe. Ich will damit sagen, man braucht es auch bei Mint nicht. Ich denke bei Ubuntu ist es genauso, möchte da aber nicht zu sachlich werden.
Welche Risiken sind denn dem Programm sudo inhärent?TomL hat geschrieben:30.11.2017 10:06:27Wer es will oder sich der Risiken nicht bewusst ist oder die Risiken aus Überzeugung ignoriert, kann es nutzen....er muss nicht, aber er kann.
sudo installierst ändert sich an der effektiven Rechtedelegation zunächst einmal gar nichts. In der sudoers ist lediglich konfiguriert, dass root alles darf und Mitglieder der Gruppe "sudo"[*]. Wenn der Admin da keinen user explizit rein schreibt, ist also erst mal noch gar nichts geschehen.Code: Alles auswählen
man sudoersVon wegen man braucht das nicht:Linux-User zu seiner Frau: «Mach mir ein Sandwich!»
Sie: «Warum? Ich bin nicht dein Sklave.»
Linux-User:Code: Alles auswählen
SUDO mach mir ein Sandwich
Hmm,
Code: Alles auswählen
sudo make me a sandwisch
make: *** No rule to make target `me'. Stop.