Re: [devel] sucap + execcap = ...

[Alexey Tourbin <at@altlinux.ru>]

[-- Attachment #1.1: Type: text/plain, Size: 1375 bytes --]

On Tue, Jun 13, 2006 at 07:30:11PM +0400, Alexey Tourbin wrote:
> В общем есть типовая задача: рут хочет запускать скрипты
> с пониженными привилегями (от псевдопользователя), но с некоторыми
> рутовыми capabilities.

> suexeccap -u $uid -g $gid -c $cap -- qa-robot -m root@localhost psec /lib /usr/lib

Нарисовал то, что хотел нарисовать.  Странное дело -- не работает!
Я кажется плохо понял, как при exec'е наследуются capabilities.
Кто-нибудь может объяснить?

$ gcc -Wall suexeccap.c -o suexeccap -lcap
$ gcc -Wall test_cap.c -o test_cap -lcap  
$ sudo ./suexeccap -u nobody -g nobody -c cap_dac_read_search=eip ./test_cap
= cap_dac_read_search+i
$

То есть я прошу у него "eip", а после exec'а остается только "i".  Если
я правильно понимаю, то именно из-за этого не работает повышение прав на
файловую систему:

$ sudo ./suexeccap -u nobody -g nobody -c cap_dac_read_search=eip find /lib |head      
find: /lib/modules: Permission denied
find: /lib: Permission denied
/lib
/lib/i686
/lib/i686/tls
/lib/modules
/lib/tls
/lib/ld-linux.so.2
/lib/libnss1_dns.so.1
/lib/terminfo
/lib/terminfo/E
/lib/terminfo/E/Eterm
$ sudo ./suexeccap -u nobody -g nobody -c cap_dac_read_search=eip id             
uid=99(nobody) gid=99(nobody)
$

И сразу вопрос ребром: типовая задача, описанная в начале этого письма,
может быть решена в принципе?

[-- Attachment #1.2: suexeccap.c --]
[-- Type: text/plain, Size: 2004 bytes --]

#include <stdlib.h>
#include <unistd.h>
#include <string.h>
#include <getopt.h>
#include <error.h>

#include <sys/types.h>
#include <pwd.h>
#include <grp.h>

#include <sys/capability.h>
#include <sys/prctl.h>

int main(int argc, char *argv[])
{
	char *user = NULL, *group = NULL, *capstr = NULL;
	int c;
	while ((c = getopt(argc, argv, "+u:g:c:")) >= 0)
		switch (c) {
		case 'u': user = optarg; break;
		case 'g': group = optarg; break;
		case 'c': capstr = optarg; break;
		default: return 1;
		}
	
	if (!(user && *user)) error(EXIT_FAILURE, 0, "user not specified");
	if (!(group && *group)) error(EXIT_FAILURE, 0, "group not specified");
	if (!(capstr && *capstr)) error(EXIT_FAILURE, 0, "capabilities not specified");
	if (optind >= argc) error(EXIT_FAILURE, 0, "command not specified");

	struct passwd *pw = getpwnam(user);
	if (!pw) error(EXIT_FAILURE, 0, "getpwnam: user \"%s\" unknown", user);
	uid_t uid = pw->pw_uid;

	struct group *gr = getgrnam(group);
	if (!gr) error(EXIT_FAILURE, 0, "getgrnam: group \"%s\" unknown", group);
	gid_t gid = gr->gr_gid;

	cap_t caps = cap_from_text(capstr);
	if (!caps) error(EXIT_FAILURE, 1, "cap_from_text: \"%s\"", capstr);
	
	char suidcapstr[strlen(capstr) + sizeof "cap_setuid,"];
	strcpy(suidcapstr, "cap_setuid,");
	strcat(suidcapstr, capstr);

	cap_t suidcaps = cap_from_text(suidcapstr);
	if (!suidcaps) error(EXIT_FAILURE, 1, "cap_from_text: \"%s\"", suidcapstr);

	if (setgroups(0, NULL) < 0) error(EXIT_FAILURE, 1, "setgroups");
	if (setregid(gid, gid) < 0) error(EXIT_FAILURE, 1, "setregid");
	if (prctl(PR_SET_KEEPCAPS, 1) < 0) error(EXIT_FAILURE, 1, "prctl");
	if (cap_set_proc(suidcaps) < 0) error(EXIT_FAILURE, 1, "cap_set_proc");
	if (setreuid(uid, uid) < 0) error(EXIT_FAILURE, 1, "setreuid");
	if (cap_set_proc(caps) < 0) error(EXIT_FAILURE, 1, "cap_set_proc");

	execvp(argv[optind], argv + optind);
	error(EXIT_FAILURE, 1, "execvp: %s", argv[optind]);
	return EXIT_FAILURE;
}

[-- Attachment #1.3: test_cap.c --]
[-- Type: text/plain, Size: 145 bytes --]

#include <stdio.h>
#include <sys/capability.h>
int main()
{
	cap_t caps = cap_get_proc();
	printf("%s\n", cap_to_text(caps, NULL));
	return 0;
}

[-- Attachment #2: Type: application/pgp-signature, Size: 191 bytes --]