Возможности файла не передаются в процесс после выполнения
Я пытаюсь написать программу, которая требует повышенных возможностей (а не просто запустить ее с помощью sudo). Однако ни одна из возможностей, которые я установил с помощью setcap, похоже, не передается в процесс после выполнения. Эта проблема возникает в нескольких исполняемых файлах и с использованием разных возможностей.
Этот код использует cap_set_file(), чтобы дать возможность CAP_NET_RAW файлу, переданному как CLA. (Не спрашивайте меня, зачем мне это нужно.)
#include <stdio.h>
#include <stdlib.h>
#include <sys/prctl.h>
#include <sys/capability.h>
#include <errno.h>
#include <string.h>
#include <sys/types.h>
#include <unistd.h>
#define handle_error(msg) \
do { printf("%s: %s\n", msg, strerror(errno)); exit(EXIT_FAILURE); } while (0)
void print_cap_buf(cap_t cur) {
char *buf;
buf = cap_to_text(cur, NULL);
printf("%s\n", buf);
cap_free(buf);
}
void get_and_print_cap_buf() {
cap_t cur = cap_get_proc();
print_cap_buf(cur);
cap_free(cur);
}
int main(int argc, char *argv[]) {
cap_t file_cap;
printf("Process capabilities: ");
get_and_print_cap_buf(); // Print the current process capability list.
file_cap = cap_from_text("cap_net_raw=ep");
if (file_cap == NULL) handle_error("cap_from_text");
printf("Capabilities to set in file: "); print_cap_buf(file_cap);
if (argc == 2) {
if ( cap_set_file(argv[1], file_cap) != 0) handle_error("cap_set_file");
} else printf("No file specified.\n");
cap_free(file_cap);
return 0;
}
После компиляции с gcc:
gcc -Wall -pedantic -std=gnu99 test.c -o tt -lcap
Я даю ему возможности с:
sudo setcap "cap_setfcap,cap_fowner,cap_net_raw=eip" tt
и используя getcap tt, вывод:
$ getcap tt
tt = cap_fowner,cap_net_raw,cap_setfcap+eip
Однако, когда я запускаю программу, я получаю следующий вывод (test-client - это исполняемый файл, который создает необработанный сокет Ethernet):
$ ./tt test-client
Process capabilities: =
Capabilities to set in file: = cap_net_raw+ep
cap_set_file: Operation not permitted
ОДНАКО... когда я запускаю программу с помощью sudo, все возможности процесса проявляются очень хорошо.
$ sudo ./tt test-client
Process capabilities: = cap_chown,cap_dac_override,cap_dac_read_search,cap_fowner,cap_fsetid,cap_kill,cap_setgid,cap_setuid,cap_setpcap,cap_linux_immutable,cap_net_bind_service,cap_net_broadcast,cap_net_admin,cap_net_raw,cap_ipc_lock,cap_ipc_owner,cap_sys_module,cap_sys_rawio,cap_sys_chroot,cap_sys_ptrace,cap_sys_pacct,cap_sys_admin,cap_sys_boot,cap_sys_nice,cap_sys_resource,cap_sys_time,cap_sys_tty_config,cap_mknod,cap_lease,cap_audit_write,cap_audit_control,cap_setfcap,cap_mac_override,cap_mac_admin,cap_syslog,cap_wake_alarm,cap_block_suspend,37+ep
Capabilities to set in file: = cap_net_raw+ep
и целевой файл "test-client" получает свои возможности, установленные правильно.
Однако, даже с CAP_NET_RAW, клиенту не удается выполнить свой вызов socket() с помощью EPERM. Я попытался установить CAP_NET_ADMIN на тот случай, если это понадобится; та же проблема. Я попытался использовать CAP_SETPCAP в программе выше; без кости Я вполне уверен, что сузил его до некоторого разъединения, когда возможности исполняемого файла не попадают в работающий процесс.
Что мне здесь не хватает?
РЕДАКТИРОВАТЬ, на следующее утро:
Итак, я провел еще несколько тестов, и оказалось, что этот код прекрасно работает на Raspberry Pi. Я запускаю Lubuntu 16.04 с LXTerminal на моей основной машине, и это тот, который не работает. Сбой внутри LXTerminal, а также в текстовой оболочке. Может быть, это ошибка ОС?
Машина Lubuntu (cat /proc/version):
Linux version 4.4.0-34-generic (buildd@lgw01-20) (gcc version 5.3.1 20160413 (Ubuntu 5.3.1-14ubuntu2.1) ) #53-Ubuntu SMP Wed Jul 27 16:06:39 UTC 2016
Пи:
Linux version 4.4.11-v7+ (dc4@dc4-XPS13-9333) (gcc version 4.9.3 (crosstool-NG crosstool-ng-1.22.0-88-g8460611) ) #888 SMP Mon May 23 20:10:33 BST 2016
ИЗМЕНИТЬ СНОВА: -
Протестировано на другом компьютере с тем же USB-ключом, который я использовал для установки. Немного другая / proc / версия:
Linux version 4.4.0-31-generic (buildd@lgw01-16) (gcc version 5.3.1 20160413 (Ubuntu 5.3.1-14ubuntu2.1) ) #50-Ubuntu SMP Wed Jul 13 00:07:12 UTC 2016
Работает отлично. Я весьма озадачен.
2 ответа
Я наконец получил это к работе, благодаря информации, найденной здесь:
https://superuser.com/questions/865310/file-capabilities-setcap-not-being-applied-in-linux-mint-17-1
Оказывается, мой домашний каталог монтируется как nosuid, что отключает все флаги возможностей.
При запуске программы в файловой системе без nosuid она работает как положено.
Для будущих читателей: если вы столкнулись с этой проблемой, убедитесь, что ваша файловая система не смонтирована как nosuid. Используя команду mount, проверьте, соответствует ли файловая система, в которой вы храните данные (в моем случае / home / user), и посмотрите, установлен ли флаг nosuid.
$ mount
...
/home/.ecryptfs/user/.Private on /home/user type ecryptfs (rw,nosuid,nodev,relatime,ecryptfs_fnek_sig=***,ecryptfs_sig=***,ecryptfs_cipher=aes,ecryptfs_key_bytes=16,ecryptfs_unlink_sigs)
(Это система ecryptfs, поэтому, если вы выбрали "Зашифровать мой домашний каталог" при установке Ubuntu, у вас, вероятно, возникнет эта проблема. Я не мог найти способ смонтировать это как suid, и, вероятно, не хотел бы в любом случае.)
В итоге я создал новый каталог / код (это моя файловая система, я могу делать то, что я хочу), который монтируется на другом разделе без nosuid.
Было бы неплохо, если бы справочные страницы по возможностям ссылались на этот факт... (правка: патч отправлен, он делает это сейчас:))
Просто точка данных: ваш код работает здесь на старой машине LTS:
$ uname -vr
3.13.0-63-generic #103-Ubuntu SMP Fri Aug 14 21:42:59 UTC 2015
$ ./tt test-client
Process capabilities: = cap_fowner,cap_net_raw,cap_setfcap+ep
Capabilities to set in file: = cap_net_raw+ep
$ cat /etc/debian_version
jessie/sid
Может быть, возможно, это как-то связано с возможностями пользовательского процесса (вызывая ./tt)? Как говорится в способностях (7), возможности являются атрибутом для каждого потока.