Unix/Linux编程：什么是能力

心已赠人 2022-10-17 10:54 306阅读 0赞

> Linux能力模型能够将传统的all-or-nothing Unix权限模型划分为一个个能单独启用或者禁用的能力。使用能力允许程序在执行一些特权操作的同时防止它们执行其他未经允许的操作

# 能力基本原理 #

传统的Unix权限模型将进程分为两类：

*  能够通过所有权限检测的有效用户ID为0的进程
 *  其他所有需要根据用户和组ID进行权限检测的进程

这个模型的粗粒度划分是一个问题。如果需要允许一个进程执行一些只有超级用户才能执行的操作—比如修改系统时间----那么就必须要让进程的有效ID为0。（如果一个非特权用户需要执行这样的操作，那么通常需要使用 set-user-ID-root 程序来完成。）但这种做法同时也赋予了进程执行其他操作的权限----这可能会造成一些安全性问题

Linux能力模型优化了这个问题的处理方式，即在内核中执行安全性检测时不再使用单个权限（即有效用户 ID 为 0），超级用户权限被划分为不同的单元，这个单元成为能力。每个特权操作与一个特定的能力关联，进程只有在拥有相应的能力的时候（不管其有效用户 ID 是什么）才能执行相应的操作。

在大多数时候，Linux能力模型对程序员来讲是不可见的，其原因是当一个对能力一无所知的应用程序的有效用户ID为0时，内核会赋予该进程所有能力。

Linux 能力是基于 POSIX 1003.1e 标准草（http://wt.tuxomania.net/publications/posix.1e/）实现的。虽然这一项标准化工作在 20 世纪 90 年代末完成之前被放弃了，但各种能力实现仍然  
是根据这个标准草案来实施的

# Linux能力 #

## 进程和文件能力 ##

每个进程拥有三个相关能力集------术语称作“许可的”、“有效的”以及“可继承的”------每个能力集都包含下表中列出的0个或者多个能力。

每个文件也有三个相关能力集------其名称和进程的能力集名称一样。

### 进程能力 ###

内核会为每个进程维护3个能力集(实现为位掩码)------每个能力集都包含下表中列出的0个或者多个能力。这三个能力集如下所示：

*  许可的：这些是一个进程可能使用的能力。许可的集合是能够被添加到有效的和可继承的集合中的能力的受限超集。如果一个进程从其许可集中删除了一个能力，那么将永远也无法再重新获取该能力（除非它执行了一个再次授予该能力的程序）
 *  有效的：内核会使用这些能力来对进程执行权限检测。只有进程在其许可集中维护着一个能力，那么进程才能通过从有效集中删除这个能力来临时禁用该能力，之后再将该能力还原到这个集合中。
 *  可继承的—当这个进程执行一个程序时可以将这些权限带入许可集中。

通过 Linux 特有的/proc/PID/status 文件中的 CapInh、CapPrm 以及 CapEff 三个字段能够查看任意进程的 3 个能力集的十六进制表示

通过 fork()创建的子进程会继承其父进程的能力集的副本。

*  实际上，能力是一个线程级的特性，进程中的每个线程的能力都可以单独进程调整
 *  在/proc/PID/task/TID/status 文件中可以查看一个多线程进程中某个具体线程的能力。
 *  /proc/PID/status 文件显示了主线程的能力。

### 文件能力 ###

如果一个文件拥有相关的能力集，那么这些集合会被用来确定赋给执行这个文件的进程的能力。文件能力集包括下面 3 个：

*  许可的：在 exec()调用中可以将这组能力添加到进程的许可集中，不管进程的既有能力是什么
 *  有效的：这个只有一位。如果被启用了，那么在 exec()调用中，进程的新许可集中启用的能力在进程的新有效集中也会被启用。如果文件有效位被禁用了，那么在 exec()执行完之后，进程的新有效集在一开始是空的。
 *  可继承的：这个集合将与进程的可继承集取掩码来确定在执行 exec()之后进程的许可集中启用的能力集

> 与文件相关的能力是存储在名为 security.capability 的安全扩展特性中的，更新这个扩展特性需要具备 CAP\_SETFCAP 能力。

<table> 
 <thead> 
  <tr> 
   <th>能 力</th> 
   <th>允 许 进 程</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>CAP_AUDIT_CONTROL</td> 
   <td>（自 Linux 2.6.11 起）启用和禁用内核审计日志、修改审计的过滤规则、读取审计状态和过滤规则</td> 
  </tr> 
  <tr> 
   <td>CAP_AUDIT_WRITE</td> 
   <td>（自 Linux 2.6.11 起）向内核审计日志写入记录</td> 
  </tr> 
  <tr> 
   <td>CAP_CHOWN</td> 
   <td>修改文件的用户 ID（所有者）或将文件的组 ID 修改为不包含进程的一个组（chown())</td> 
  </tr> 
  <tr> 
   <td>CAP_DAC_OVERRIDE</td> 
   <td>绕过文件读取、写入和执行权限检查（DAC 是 discretionary access control 的缩写）；读取/proc/PID 中 cwd、exe 和 root 符号链接的内容</td> 
  </tr> 
  <tr> 
   <td>CAP_DAC_READ_SEARCH</td> 
   <td>绕过文件读取权限检查以及目录读取和执行的权限检查</td> 
  </tr> 
  <tr> 
   <td>CAP_FOWNER</td> 
   <td>忽略那些平时要求进程的文件系统用户 ID 与文件的用户 ID 匹配的操作（chmod(), utime()）的权限检查；设置任意文件的 i-node 标记；设置和修改任意文件的 ACL；在删除文件（unlink(), rmdir(), rename()）时忽略目录粘滞位的效果；在 open()和 fcntl(F_SETFL)中为任意文件指定 O_NOATIME 标记</td> 
  </tr> 
  <tr> 
   <td>CAP_FSETID</td> 
   <td>修改文件时使内核不关闭 set-user-ID 和 set-group-ID 位（write(), truncate()）；为那些组 ID 与进程的文件系统组 ID 或补充组 ID 不匹配的文件启用 set-group-ID 位</td> 
  </tr> 
  <tr> 
   <td>CAP_IPC_LOCK</td> 
   <td>覆盖内存加锁限制（ mlock(), mlockall(), shmctl(SHM_LOCK), shmctl(SHM_UNLOCK)）；使用 shmget() SHM_HUGETLB 标记和mmap() MAP_HUGETLB 标记</td> 
  </tr> 
  <tr> 
   <td>CAP_IPC_OWNER</td> 
   <td>绕过操作 System V IPC 对象的权限检查</td> 
  </tr> 
  <tr> 
   <td>CAP_KILL</td> 
   <td>绕过发送信号（kill(), sigqueue()）的权限检查</td> 
  </tr> 
  <tr> 
   <td>CAP_LEASE</td> 
   <td>（自 Linux 2.4 起）在任意文件上建立租赁关系（fcntl(F_SETLEASE)）</td> 
  </tr> 
  <tr> 
   <td>CAP_LINUX_IMMUTABLE</td> 
   <td>设置附加和不可变的 i-node 标记</td> 
  </tr> 
  <tr> 
   <td>CAP_MAC_ADMIN</td> 
   <td>（自 Linux 2.6.25 起）配置或修改强制访问控制（MAC）的状态（一些Linux 安全模块实现了这个能力）</td> 
  </tr> 
  <tr> 
   <td>CAP_MAC_OVERRIDE</td> 
   <td>（自 Linux 2.6.25 起）覆盖 MAC（一些 Linux 安全模块实现了这个能力）</td> 
  </tr> 
  <tr> 
   <td>CAP_MKNOD</td> 
   <td>（自 Linux 2.4 起）使用 mknod()创建设备</td> 
  </tr> 
  <tr> 
   <td>CAP_NET_ADMIN</td> 
   <td>执行各种网络相关的操作（如设置特权 socket 选项、启用组播、配置网络接口、修改路由表）</td> 
  </tr> 
  <tr> 
   <td>CAP_NET_BIND_SERVICE</td> 
   <td>绑定到特权 socket 端口</td> 
  </tr> 
  <tr> 
   <td>CAP_NET_BROADCAST</td> 
   <td>（未使用）执行 socket 广播和监听组播</td> 
  </tr> 
  <tr> 
   <td>CAP_NET_RAW</td> 
   <td>使用原始和包 socket</td> 
  </tr> 
  <tr> 
   <td>CAP_SETGID</td> 
   <td>随意修改进程组 ID（setgid(), setegid(), setregid(),setresgid(), setfsgid(), setgroups(), initgroups()）；在通过 UNIX domain socket（SCM_ CREDENTIALS）传递验证信息时伪造组 ID</td> 
  </tr> 
  <tr> 
   <td>CAP_SETFCAP</td> 
   <td>（自 Linux 2.6.24 起）设置文件能力</td> 
  </tr> 
  <tr> 
   <td>CAP_SETPCAP</td> 
   <td>在不支持文件能力时将进程的许可集中的能力授予其他进程（包括自己）或删除其他进程（包括自己）许可集中的能力；在支持文件能力时将进程的能力边界集中的所有能力都添加到自己的可继承集中，删除边界集中的能力以及修改 securebits 标记</td> 
  </tr> 
  <tr> 
   <td>CAP_SETUID</td> 
   <td>随意修改进程用户 ID （ setuid(), seteuid(), setreuid(),setresuid(), setfsuid()）；在通过 UNIX domain socket（SCM_CREDENTIALS）传递验证信息时伪造用户 ID</td> 
  </tr> 
  <tr> 
   <td>CAP_SYS_ADMIN</td> 
   <td>在打开文件的系统调用中（如 open(),shm_open(), pipe(), socket(), accept(), exec(), acct(), epoll_create()）超出/proc/sys/fs/file-max 限制；执行各种系统管理操作，包括 quotactl()（控制磁盘限额）、mount()和umount(), swapon() 和 swapoff(), pivot_root(), sethostname() 和setdomainname()；执行各种 syslog(2)操作；覆盖 RLIMIT_NPROC 资源限制（fork()）；调用 lookup_dcookie()；设置 trusted 和 security 扩展特性；在任意 System V IPC 对象上执行 IPC_SET 和 IPC_RMID 操作；在通过 UNIX domain socket（SCM_CREDENTIALS）传递验证信息时伪造进程 ID；使用 ioprio_set()来分配 IOPRIO_CLASS_RT 调度类；使用 TIOCCONS ioctl()；在 clone()和 unshare()中使用 CLONE_NEWNS标记；执行 KEYCTL_CHOWN 和 KEYCTL_SETPERM keyctl()操作；管理 random(4)设备；各种特定于设备的操作</td> 
  </tr> 
  <tr> 
   <td>CAP_SYS_BOOT</td> 
   <td>使用 reboot()重启系统；调用 kexec_load()</td> 
  </tr> 
  <tr> 
   <td>CAP_SYS_CHROOT</td> 
   <td>使用 chroot()设置进程根目录</td> 
  </tr> 
  <tr> 
   <td>CAP_SYS_MODULE</td> 
   <td>加载和卸载内核模块（init_module(), delete_module(), create_module()）</td> 
  </tr> 
  <tr> 
   <td>CAP_SYS_NICE</td> 
   <td>提 高 nice 值 （ nice(), setpriority() ）；修改任意进程的 nice 值（setpriority()）；设置调用进程的 SCHED_RR 和 SCHED_FIFO 实时调度策略；重置 SCHED_RESET_ON_FORK 标记；设置任意进程的调度策略和优先级（sched_setscheduler(), sched_setparam()）；设置任意进程的 I/O 调度类和优先级（ioprio_set()）；设置任意进程的 CPU 亲和力（sched_setaffinity()）；使用 migrate_pages()将任意进程迁移到任意节点以及允许进程被迁移到任意节点；对任意进程应用 move_pages()；在mbind() 和 move_pages()中使用 MPOL_MF_MOVE_ALL 标记</td> 
  </tr> 
  <tr> 
   <td>CAP_SYS_PACCT</td> 
   <td>使用 acct()启用或禁用进程记账</td> 
  </tr> 
  <tr> 
   <td>CAP_SYS_PTRACE</td> 
   <td>使用 ptrace()跟踪任意进程；访问任意进程的/proc/PID/environ；对任意进程应用 get_robust_list()</td> 
  </tr> 
  <tr> 
   <td>CAP_SYS_RAWIO</td> 
   <td>使用 iopl() 和 ioperm()在 I/O 端口上执行操作；访问/proc/kcore；打开/dev/mem 和/dev/kmem</td> 
  </tr> 
  <tr> 
   <td>CAP_SYS_RESOURCE</td> 
   <td>使用文件系统上的预留空间；使用 ioctl()调用控制 ext3 journaling；覆盖磁盘限额限制；提高硬资源限制（setrlimit()）；覆盖 RLIMIT_NPROC资源限制（fork()）；将 System V 消息队列的/proc/sys/kernel/msgmnb限制提高 msg_qbytes；绕过由/proc/sys/fs/mqueue 下各个文件定义的各种 POSIX 消息队列限制</td> 
  </tr> 
  <tr> 
   <td>CAP_SYS_TIME</td> 
   <td>修改系统时钟（settimeofday(), stime(), adjtime(), adjtimex()）；设置硬件时钟</td> 
  </tr> 
  <tr> 
   <td>CAP_SYS_TTY_CONFIG</td> 
   <td>使用 vhangup()执行终端或伪终端的虚拟挂起</td> 
  </tr> 
 </tbody> 
</table>

### 进程许可和有效能力集的目的 ###

*  进程的许可集定义了进程能够使用的能力。
 *  进程的有效集定义了进程当前使用的能力------即使内核会使用这组能力来检查进程是否有足够的权限来执行某个特定的操作

许可能力集为有效能力集定义了一个上限。进程只能将其许可能力集中的能力上升到有效集中。（上升有时候也被称为添加或设置，与之相反的操作是丢弃或删除或清除。）

### 文件许可和有效能力集的目的 ###

文件许可能力集为可执行文件向进程赋予能力提供了一种机制，它指定了在exec()调用中被赋予给进程的许可能力集的一组能力。

文件有效能力集是一个可以被启用或者禁用的标记(位)。要理解为何这个集合只由一个位过程就需要考虑在程序被执行时会发生的两种情况：

*  程序可能是一个能力哑元，表示它对能力一无所知（即传统的 set-user-ID-root 程序）。这种程序不知道需要在有效集中提升能力以便能够执行特权操作。对于这样的能力来讲，exec()应该将进程的新许可集中的所有能力自动加到其有效集中，这是通过启用文件有效位来完成的。
 *  程序可能是知道能力的，表示在设计程序的时候使用了能力框架，并且会使用合适的系统调用来在其有效集中提升和删除能力。对于这样的程序来讲，最小权限表示在 exec()调用之后，进程的有效能力集中的所有能力一开始都是被禁用的，这是通过禁用文件有效能力位来完成的

### 在 shell 中给文件赋予能力和查看文件能力 ###

date 程序不是一个 set-user-ID-root，因此通常使用权限运行这个程序的唯一方式是变成超级用户。

下面首先显示当前的系统时间，然后尝试以一个非特权用户的身份来修改时间。  
![在这里插入图片描述][20210602173454156.png]

从上面可以看出 date 命令没有能够修改系统时间

接下来变成超级用户，这样就能够成功地修改系统时间了  
![在这里插入图片描述][2021060217351832.png]  
现在复制一份 date 程序的副本并赋予该副本所需的能力。  
![在这里插入图片描述][20210602173528964.png]  
上面的 setcap 命令将 CAP\_SYS\_TIME 能力赋给了可执行文件的许可能力集（p）和有效能力集（e）。接着使用了 getcap 命令来验证能力确实被赋给了文件。（libcap 包中的cap\_from\_text(3)手册描述了 setcap 和 getcap 中用来表示能力集的语法。）

date 程序的副本的文件能力允许非特权用户使用这个程序来设置系统时间。  
![在这里插入图片描述][20210602180228309.png]

[20210602173454156.png]: /images/20221014/c72778e4bb4a4c9c9817b3c2311b18d3.png
[2021060217351832.png]: /images/20221014/c7d0819fd08141a689882be86b9402d6.png
[20210602173528964.png]: /images/20221014/6db2c349c5fb42a4a26252cc627b7760.png
[20210602180228309.png]: /images/20221014/fa0e7cd6dde14fe3a2782e7a5c650afe.png