From: "Dmitry V. Levin" <ldv@altlinux.org> To: ALT Devel discussion list <devel@lists.altlinux.org> Subject: Re: [devel] sucap + execcap = ... Date: Thu, 15 Jun 2006 02:12:31 +0400 Message-ID: <20060614221231.GD8552@basalt.office.altlinux.org> (raw) In-Reply-To: <20060613192253.GN25291@localhost.localdomain> [-- Attachment #1: Type: text/plain, Size: 1448 bytes --] On Tue, Jun 13, 2006 at 11:22:53PM +0400, Alexey Tourbin wrote: > On Tue, Jun 13, 2006 at 07:30:11PM +0400, Alexey Tourbin wrote: > > В общем есть типовая задача: рут хочет запускать скрипты > > с пониженными привилегями (от псевдопользователя), но с некоторыми > > рутовыми capabilities. > > > suexeccap -u $uid -g $gid -c $cap -- qa-robot -m root@localhost psec /lib /usr/lib > > Нарисовал то, что хотел нарисовать. Странное дело -- не работает! > Я кажется плохо понял, как при exec'е наследуются capabilities. > Кто-нибудь может объяснить? Я могу объяснить, хотя проще RTFS. > > if (setgroups(0, NULL) < 0) error(EXIT_FAILURE, 1, "setgroups"); > if (setregid(gid, gid) < 0) error(EXIT_FAILURE, 1, "setregid"); > if (prctl(PR_SET_KEEPCAPS, 1) < 0) error(EXIT_FAILURE, 1, "prctl"); PR_SET_KEEPCAPS используется для того, чтобы ... > if (cap_set_proc(suidcaps) < 0) error(EXIT_FAILURE, 1, "cap_set_proc"); > if (setreuid(uid, uid) < 0) error(EXIT_FAILURE, 1, "setreuid"); ... после setreuid capabilities не были выставлены согласно *uid, см. cap_emulate_setxuid(). > if (cap_set_proc(caps) < 0) error(EXIT_FAILURE, 1, "cap_set_proc"); > > execvp(argv[optind], argv + optind); При выполнении exeс все capabilities выставляются заново согласно *uid, см. cap_bprm_set_security(), и раньше на это повлиять было нельзя. Пусть ядерщики меня поправят, если в этой сфере что-то изменилось. -- ldv [-- Attachment #2: Type: application/pgp-signature, Size: 191 bytes --]
prev parent reply other threads:[~2006-06-14 22:12 UTC|newest] Thread overview: 13+ messages / expand[flat|nested] mbox.gz Atom feed top 2006-06-13 10:06 [devel] sucap не работает Alexey Tourbin 2006-06-13 12:13 ` Dmitry V. Levin 2006-06-13 12:52 ` [devel] psec O_NOATIME Alexey Tourbin 2006-06-13 15:25 ` Dmitry V. Levin 2006-06-13 15:47 ` Alexey Tourbin 2006-06-13 15:51 ` Dmitry V. Levin 2006-06-13 16:25 ` Alexey Tourbin 2006-06-13 15:53 ` [devel] O_NOATIME behaviour changed in linux-2.6? Dmitry V. Levin 2006-06-13 16:31 ` Sergey Vlasov 2006-06-13 15:04 ` [devel] sucap не работает Alexey Tourbin 2006-06-13 15:30 ` [devel] sucap + execcap = Alexey Tourbin 2006-06-13 19:22 ` Alexey Tourbin 2006-06-14 22:12 ` Dmitry V. Levin [this message]
Reply instructions: You may reply publicly to this message via plain-text email using any one of the following methods: * Save the following mbox file, import it into your mail client, and reply-to-all from there: mbox Avoid top-posting and favor interleaved quoting: https://en.wikipedia.org/wiki/Posting_style#Interleaved_style * Reply using the --to, --cc, and --in-reply-to switches of git-send-email(1): git send-email \ --in-reply-to=20060614221231.GD8552@basalt.office.altlinux.org \ --to=ldv@altlinux.org \ --cc=devel@lists.altlinux.org \ /path/to/YOUR_REPLY https://kernel.org/pub/software/scm/git/docs/git-send-email.html * If your mail client supports setting the In-Reply-To header via mailto: links, try the mailto: link
ALT Linux Team development discussions This inbox may be cloned and mirrored by anyone: git clone --mirror http://lore.altlinux.org/devel/0 devel/git/0.git # If you have public-inbox 1.1+ installed, you may # initialize and index your mirror using the following commands: public-inbox-init -V2 devel devel/ http://lore.altlinux.org/devel \ devel@altlinux.org devel@altlinux.ru devel@lists.altlinux.org devel@lists.altlinux.ru devel@linux.iplabs.ru mandrake-russian@linuxteam.iplabs.ru sisyphus@linuxteam.iplabs.ru public-inbox-index devel Example config snippet for mirrors. Newsgroup available over NNTP: nntp://lore.altlinux.org/org.altlinux.lists.devel AGPL code for this site: git clone https://public-inbox.org/public-inbox.git