Перейти к основному содержанию

TrueNAS — пропала функция Shell... или нет?

TrueNAS

В TrueNAS в версии 13.3 функция Shell была удалена. Опция в меню больше недоступна, а адрес /ui/shell не работает.

Вероятно, это было сделано в целях безопасности. Однако, как показывает практика, безопасность мнимая.

Есть ещё один похожий пункт меню под названием "Display System Processes".

truenas

В этом окошке отображается так похожая нам оболочка, однако, мы видим что-то похожее на результат выполнения команды top. Изображение динамическое, значит, мы действительно видим оболочку с исполняемой командой top.

https://www.ixsystems.com/documentation/truenas/11.3-U2/tn_options.html

Написано:

The display automatically refreshes itself. The display is read-only.

Дисплей автоматически обновляется. Дисплей доступен только для чтения.

Если несколько раз пощёлкать по пунктам меню, то на долю секунды можно заметить такое:

truenas

Ого, сначала появляется оболочка, причём самые глазастые могут заметить как после печатается и запускается команда top. Хм, а если до запуска команды можно взаимодействовать с оболочкой? Попробуем поймать момент и успеть что-нибудь написать, например, букву h. Теоретически, дальше допишется top и в результате запустится htop. Пробуем.

truenas

Совсем другая картина! А что если можно что-нибудь успеть вставить из буфера, например это:

cat /etc/passwd --

Проверяем.

truenas

Что тут можно сказать: "Гладко было на бумаге, да забыли про овраги"... Вероятно, про более глубоком копании JavaScript, можно запустить полноценный терминал.

truenas

Имеется там команда "disableStdin". Но мне лень копать в этом направлении, и так доступ к оболочке получен.

 

Похожие материалы

ПАК АК-сервер — аппаратное средство проверки фискальных признаков

Видел уникальную железку, детище компании Атлас-карт. АК-сервер (HSM) — это только часть программно-аппаратного комплекса. Расскажу о плюсах и минусах с точки зрения системного администрирования.

Маршрутизатор Dionis DPS-3006

Dionis DPS-3006 — это современный российский маршрутизатор, сертифицированный ФСТЭК (МЭ2, НДВ2, СОВ2) и ФСБ (СКЗИ КС1, КС3) России. Ну как российский, ПО российское на базе ядра Linux, а железо сделано в Тайване американской компанией American Portwell Technology, Inc, модель CAR-3040. Маршрутизатор является частью ПАК Дионис NX. Программно-аппаратный комплекс включает в себя маршрутизатор и управляющее его работой ПО Dionis NX.