Est-ce que / dev est protégé par SIP?

6

Je sais donc que / dev contient tous les pilotes requis pour la souris, le clavier, etc., mais certains logiciels malveillants dangereux peuvent-ils supprimer le dossier? Ou quelqu'un peut-il supprimer manuellement le dossier avec sudo?

high-sierra
la source

Réponses:

8

Le répertoire couvert par SIP ( About System Integrity Protection ) est

  • /Système
  • / usr
  • /poubelle
  • / sbin
  • Applications préinstallées avec OS X


/ dev contient tous les pilotes requis pour la souris, le clavier, etc.

Ce sont des nœuds de périphérique ou des fichiers spéciaux qui accèdent directement au matériel.

Les pilotes de périphérique sont généralement situés dans la bibliothèque système sous la forme de kexts (extensions de noyau). Voir cette réponse pour plus de détails.

quelqu'un peut-il supprimer manuellement le dossier avec sudo?

Oui, vous pouvez supprimer ce dossier. Toutefois, il doit être restauré au redémarrage, car ces nœuds sont générés de manière dynamique au fur et à mesure que le matériel est détecté. Sous Linux et BSD, la commande makedevva régénérer vos périphériques. mknodfera de même pour macOS.

De la page de manuel ( man mknod)

La commande mknod crée des fichiers spéciaux de périphérique.

Les logiciels malveillants peuvent-ils donc supprimer ou affecter ces fichiers? Peut-être, mais ce serait contre-productif car il faudrait d'abord y avoir rootaccès et quels que soient les changements qui seraient au mieux temporaires.

Allan
la source
2
SIP empêche les écritures au niveau des blocs sur les disques protégés (par exemple, les écritures sur le lecteur de démarrage /dev/disket les /dev/rdiskpériphériques), sinon vous pourriez facilement contourner les restrictions. Voir apple.stackexchange.com/questions/193368/…
user71659
1
"Sous Linux et BSD, la commande makedevva régénérer vos périphériques. mknodFera de même pour macOS." - En fait, sur presque toutes les distributions Linux modernes, il /devest géré dynamiquement par udev. Les scripts statiques makedev(ou MAKEDEV) n'existent plus depuis plus de dix ans. (Auparavant udev, /devun système de fichiers virtuel était parfois appelé devfs.) Notez également que le udevddémon, ainsi que les anciens MAKEDEVscripts vénérables , appellent simplement l' mknodutilitaire et que le devfspilote du système de fichiers appelle le mknodsyscall.
Jörg W Mittag