Linux的capability深入分析.doc
文本预览下载声明
一)概述:
1)从2.1版开始,Linux内核有了能力(capability)的概念,即它打破了UNIX/LINUX操作系统中超级用户/普通用户的概念,由普通用户也可以做只有超级用户可以完成的工作.
2)capability可以作用在进程上(受限),也可以作用在程序文件上,它与sudo不同,sudo只针对用户/程序/文件的概述,即sudo可以配置某个用户可以执行某个命令,可以更改某个文件,而capability是让某个程序拥有某种能力,例如:
capability让/tmp/testkill程序可以kill掉其它进程,但它不能mount设备节点到目录,也不能重启系统,因为我们只指定了它kill的能力,即使程序有问题也不会超出能力范围.
3)每个进程有三个和能力有关的位图:inheritable(I),permitted(P)和effective(E),对应进程描述符task_struct(include/linux/sched.h)里面的cap_effective, cap_inheritable, cap_permitted,所以我们可以查看/proc/PID/status来查看进程的能力.
4)cap_effective:当一个进程要进行某个特权操作时,操作系统会检查cap_effective的对应位是否有效,而不再是检查进程的有效UID是否为0.
例如,如果一个进程要设置系统的时钟,Linux的内核就会检查cap_effective的CAP_SYS_TIME位(第25位)是否有效.
5)cap_permitted:表示进程能够使用的能力,在cap_permitted中可以包含cap_effective中没有的能力，这些能力是被进程自己临时放弃的,也可以说cap_effective是cap_permitted的一个子集.
6)cap_inheritable:表示能够被当前进程执行的程序继承的能力.
二)capability的设定与清除
我们在下面的程序中给当前的进程设定能力,最后我们清除掉所设定的能力,源程序如下:
1 #include stdio.h
2 #include stdlib.h
3 #include string.h
4 #include sys/types.h
5 #include unistd.h
6
7 #undef _POSIX_SOURCE
8 #include sys/capability.h
9
10 extern int errno;
11
12 void whoami(void)
13 {
14 printf(uid=%i euid=%i gid=%i\n, getuid(), geteuid(), getgid());
15 }
16
17 void listCaps()
18 {
19 cap_t caps = cap_get_proc();
20 ssize_t y = 0;
21 printf(The process %d was give capabilities %s\n,
22 (int) getpid(), cap_to_text(caps, y));
23 fflush(0);
24 cap_free(caps);
25 }
26
27 int main(int argc, char **argv)
28 {
29 int stat;
30 whoami();
31 stat = setuid(geteuid());
32 pid_t parentPid = getpid();
33
34 if(!parentPid)
35 return 1;
36 cap_t caps = cap_init();
37
38
39 cap_value_t capList[5] =
40 { CAP_NET_RAW, CAP_NET_BIND_SERVICE , CAP_SETUID, CAP_SETGID,CAP_SETPCAP } ;
41 unsigned num_caps = 5;
42 cap_set_flag(caps, CAP_EFFECTIVE, num_caps, capList, CAP_SET);
43 cap_set_flag(caps, CAP_INHERITABLE, num_caps, capList, CAP_SET);
44 cap_set_flag(caps, CAP_PERMITTED, num_caps, capList, CAP_SET);
45
46 if (cap_set_proc(
显示全部