كيف يُغفَل عنه
مهمة برمجية روتينية تتحول إلى أمر يطلب صلاحيات مرتفعة. قد يكون ذلك ضروريًا، وقد يكون أيضًا وصولًا أوسع مما تستحقه المهمة. اللحظة التي يتغير فيها الأمر تستحق الملاحظة.
عميل يستكشف تبعية مفقودة يلجأ إلى sudo. في جلسة طويلة، يمكن أن يجلس هذا الطلب بين فحوصات عادية ومخرجات التثبيت. إذا راجعت النتيجة النهائية فقط، قد لا تلاحظ محاولة تغيير الصلاحيات أبدًا.
ما يكشفه ClawMetry
يتعرف ClawMetry على الأنماط المتعلقة بالصلاحيات في وسيطات الأدوات الملتقطة. أمر sudo قد يُثير تحذير تغيير صلاحيات. تمنحك النتيجة سببًا لمراجعة الإجراء المحاوَل في سياق المهمة.
الفارق الذي يغير النتيجة
مثال مُفعِّل
sudo apt-get install jq
نتيجة تحذيرية
مقارنة هادئة
git status
لا نتيجة لهذا الكاشف.
المثال المفحوص يستخدم أمر تثبيت حزمة بـ sudo ويُثير تحذيرًا. أمر Git status العادي يبقى صامتًا. الإشارة تخص الأمر المرصود، ولا تثبت نجاح طلب الصلاحيات.
افحص نتيجة الكاشف
{
"kind": "privilege_change",
"severity": "warning",
"evidence": {
"patterns": [
"ran a command as root"
],
"matches": 1,
"irreversible": [],
"command_sketch": "sudo apt-get",
"observed": "tool_arguments"
}
}كيف تم فحص المثال
تُقيِّم هذه الأمثلة الكاشف المنشور باستخدام بيانات أحداث محررة أو ملفات إعداد مؤقتة. الفيديوهات توضح تلك السلوكيات. ليست تسجيلات لوكلاء حية أو لواجهة المنتج. لم يُنفَّذ أي أمر في الأمثلة.
تحدد النتيجة السلوك لهذه المدخلات. لا تُثبت استيعاب بيئة التشغيل أو الوقاية أو اختراقاً فعلياً. افحص عقد المصدر المثبَّت.
ماذا تفحص بعد ذلك
تحقق مما إذا كان الوصول المرتفع ضروريًا فعلًا. افحص الهدف والأمر وأي موافقة متضمنة. فضّل أضيق وصول يُنجز المهمة، وتحقق من النتيجة باستخدام أدلة بيئة التشغيل والنظام المتاحة لك.
- تحقق من سبب الحاجة إلى الوصول
- افحص الهدف والموافقة
- تحقق من الحالة الناتجة
ما تُثبته هذه الإشارة
يقرأ هذا الكاشف الأوامر المسجّلة لا صلاحيات نظام التشغيل الناتجة. لا يمنع الارتفاع في الصلاحيات بنفسه.