Hur sparar jag ett Terminal-kommando som ett "script"?

Jag ställer mig skeptisk till utsagan att man bör undvika ~/bin samt montera /home som noexec.

~/bin är rätt vedertagen för användarspecifika körbara program. Den plockas till och med upp automatiskt i standardinstallationer av de flesta (?) system. Det brukar finnas ett stycke likt det som finns i /etc/skel/.profile på en Debianinstallation (och därmed kopieras in i alla nya användares kataloger som en standard-~/.profile):

# set PATH so it includes user's private bin if it exists
if [ -d "$HOME/bin" ] ; then
    PATH="$HOME/bin:$PATH"
fi

Det inbegriper då Debian, Ubuntu, Mint, etc. Även Fedora har en liknande rad i /etc/skel/.bash_profile:

# User specific environment and startup programs

PATH=$PATH:$HOME/.local/bin:$HOME/bin

export PATH

vilket jag då antar även gäller standardinstallationer av RHEL, CentOS, etc. Är det något system som monterar /home som noexec som standard? Detta är måhända inget argument på isolerad hand, men om mer eller mindre alla vanliga distributioner som standard uppmanar användare till att använda ~/bin så bör det inte kunna vara speciellt mycket problem med det.

Vilka faktiska säkerhetshål skulle uppstå av att låta en användare exekvera skript från sin egen katalog? Jag hade inte ens hört detta propageras för tidigare, och jag hittade på sin höjd ett fåtal strödiskussioner via Google (fast de flesta trådarna handlade om att /home av misstag monterats noexec, och hur man skulle bli av med det) samt en omnämning i en enstaka bok om Linuxsäkerhet från 2001.

Ifall man tänker sig att en attackerare lurar till sig rättigheter för att modifiera innehållet i användarens hemkatalog — då har man redan tappat bollen. Exempelvis skulle attackeraren då kunna lägga till egna rader i ~/.profile och få sin kod körd vid varje inloggning likväl, eller vid en mängd liknande inkörspunkter. Ifall en användares integritet har äventyrats så till den grad att en attackerare kan skriva till godtyckliga användarägda filer så är det bara att hoppas på att man skött systemsäkerheten så att ingen annan användare på systemet råkar illa ut.

Däremot så ska man inte lägga skript som ska köras av root, eller för den delen andra användare, i en användares privata katalog, vilket är något jag ibland ser folk göra (främst på enanvändarsystem). Det ger en direkt väg för eskalering av privilegier för en elak användare som kommit åt ett "vanligt" användarkonto på maskinen. Ett bättre alternativ vore då exempelvis roots hemkatalog, eller /usr/local/sbin.

/usr/local/bin är tänkt att innehålla skript som systemadministratören installerat för att alla användare på datorn ska ha tillgång till dessa. En användare som skriver egna skript för eget bruk bör lägga dem i just ~/bin (på enanvändarsystem så är distinktionen mellan "administratör" och "användare" inte alltid tydlig, men men). Generellt så bör användare inte ha tillåtelse att lägga saker i /usr/local/bin överhuvudtaget, utan det ska vara förbehållt administratörens "godkända" skript.

Kan tillägga att jag hade fått nippran om min hemkatalog på ett system var noexec — visst går det att explicit ange tolk till alla program man själv skriver under en utvecklingsfas, men det låter rätt osmidigt. Även det faktum att det går att köra godtyckliga skript genom att ange tolk, och även kompilerade program utan exekverbara rättigheter på binärerna (Can I execute a Linux binary without the execute permission bit being set? [SU]) ställer ytterligare frågor om vilken faktisk säkerhet man vinner av att ha /home som noexec.

Man skulle kanske kunna tänka sig att ta bort exekverbara rättigheter från /home på ett system där man vägde användares användbarhet av systemet lägre än en potentiell (väldigt nära "security by obscurity") säkerhetsvinst, men på "vanliga" hemanvändarsystem så låter det främst som huvudvärk. Att säga att man inte "bör" använda ~/bin och att man "helst" ska montera /home som noexec går i mina ögon väl långt.

Lite OT, men ändå skriptrelaterat:

Intressanta inlägg båda era. Jag kör en enkel server (Ubuntu Server 15.04) hemma som hantera en del viktiga funktioner för klanen jag är med i. Skripten jag har i min hemmapp sköter olika backupskript från MySQL (mysqldump bland annat), jag använder då .my.conf-filen där jag har lösenord för databasanvändaren/databasanvändarna. Jag har en känsla av att det inte är så bra egentligen. Har du något tips på hur man ska sköta det, om man t.ex. skulle lägga skripten i /usr/local/bin - hur gör man med databasanvändarnas lösenord om de körs därifrån?

Dumpningen av databasen är väl viktigaste funktionen, men vid @reboot monteras en dropbox-mapp via ett annat skript, zippade kopior av varje dump hamnar där.