Re: [OBORONA-SPAM] [gentoo-user-ru] hardened + Xorg

[Alex Efros]

Hi!



On Thu, Jan 12, 2006 at 07:43:51PM +0300, Vladimir Solomatin wrote:

> т.е. после установки и запуска chpax из /etc/init.d/
> нужно будет пересобрать всю систему, для того чтобы не работающие в
> hardened программы были скомпилированы gcc без патчей ssp и pie?


Брр. Нет. Зачем пересобирать всю систему? Последовательность такая: когда вы

устанавливаете или обновляете одну из тех немногих программ, которые не

полностью поддерживают hardened, после компиляции этих программ вам нужно

запустить /etc/init.d/chpax, чтобы на бинарники этих программ проставились

нужные флаги. Если этого не сделать, то при запуске этих программ вы будете

получать SEGFAULT, а в логах ядра будет видно что их прибивает GrSec или PaX.



> запускаю startx
> получаю:
>
> ....
> Duplicate symbol __i686.get_pc_thunk.bx in
> /usr/lib/modules/fonts/libbitmap.a:bitmapmod.o
> Also defined in /usr/lib/modules/fonts/libbitmap.a


О! Знакомая проблема. :-) Из-за этого бага мне приходится X-ы компилировать

gcc без hardened. Задобало уже. Правда, это единственная прога, которую

приходится компилировать gcc без hardened - всем остальным хватает запуска

/etc/init.d/chpax. Насколько я понимаю это даже не баг в X, а баг в

ati-drivers, которые я использую.



Делается это примерно так. Если у вас, например:



home ~ # gcc-config -l

 [1] i686-pc-linux-gnu-3.4.4 *

 [2] i686-pc-linux-gnu-3.4.4-hardenednopie

 [3] i686-pc-linux-gnu-3.4.4-hardenednopiessp

 [4] i686-pc-linux-gnu-3.4.4-hardenednossp

 [5] i686-pc-linux-gnu-3.4.4-vanilla



то:



gcc-config 5 

source /etc/profile

emerge xorg-x11

gcc-config 1

source /etc/profile



Для автоматизации этого процесса, я написал файлик /etc/portage/bashrc:

---cut---

if [ "${PN}" == "xorg-x11" ]; then

    PATH=$PATH:/usr/local/bin:/bin:/usr/bin

    if [ "${EBUILD_PHASE}" == "unpack" ]; then

        sudo /usr/bin/gcc-config 5

        source /etc/profile

    fi

    if [ "${EBUILD_PHASE}" == "postinst" ]; then

        sudo /usr/bin/gcc-config 1

        source /etc/profile

    fi

fi

---cut---



Тогда даже если X-ы будут компилироваться в середине `emerge -uDNav world`,

то для их компиляции emerge переключится на gcc без hardened, а после их

компиляции - вернётся обратно.



Единственная проблема с моим скриптом - если у вас будет стоят одновременно

два gcc то параметры gcc-config 1 и 5 могут выбирать не тот gcc.



-- 

			WBR, Alex.

-- 

gentoo-user-ru@g.o mailing list