setcap用法

转载

bonelee 2023-08-03 20:23:00

文章标签 linux 普通用户 php 文章分类 Python 后端开发

setcap用法

1.背景

安装 Wireshark 的时候，有一步是给 dumpcap 读网卡的权限，使得普通用户也可以使用 Wireshark 进行抓包。

# setcap 'CAP_NET_RAW+eip CAP_NET_ADMIN+eip' /usr/sbin/dumpcap

那么 setcap 是个啥玩意呢？

从前，要使被普通用户执行的某个程序有特殊权限，一般我们会给这个程序设置suid，于是普通用户执行该程序时就会以root的身份来执行。
比如，/usr/bin/passwd 这个可执行文件就带有suid，普通用户执行它时会以root身份执行，所以 passwd 才能读取并修改 /etc/shadow 文件。

[root@rhel671 ~]# ls -l /usr/bin/passwd -rwsr-xr-x. 1 root root 30768 Feb 17 2012 /usr/bin/passwd [root@rhel671 ~]# ls -l /etc/shadow ----------. 1 root root 945 Sep 11 16:22 /etc/shadow

可以看到，使用 suid 有一个弊端，那就是以 root 身份执行的程序有了所有特权，这会带来安全风险。
Kernel 从 2.2 版本开始，提供了 Capabilities 功能，它把特权划分成不同单元，可以只授权程序所需的权限，而非所有特权。

2.用 /bin/ping 测试

在 RHEL6 中，普通用户能执行 ping 命令是因为 /bin/ping 设置了 suid 。

[root@rhel671 ~]# ls -l /bin/ping -rwsr-xr-x. 1 root root 38200 Dec 11 2014 /bin/ping

将 /bin/ping 的 suid 去除，普通用户则无法执行 ping.

[root@rhel671 ~]# chmod 755 /bin/ping [root@rhel671 ~]# ls -l /bin/ping -rwxr-xr-x. 1 root root 38200 Dec 11 2014 /bin/ping

[testuser@rhel671 ~]$ ping www.baidu.com ping: icmp open socket: Operation not permitted

在 root 用户下，用 setcap 命令给 /bin/ping 这个可执行文件加上 “cap_net_admin,cap_net_raw+ep” 权限，普通用户即可使用 ping.

[root@rhel671 ~]# setcap 'cap_net_admin,cap_net_raw+ep' /bin/ping [root@rhel671 ~]# getcap /bin/ping /bin/ping = cap_net_admin,cap_net_raw+ep

[testuser@rhel671 ~]$ ping www.baidu.com PING www.a.shifen.com (119.75.217.109) 56(84) bytes of data. 64 bytes from 119.75.217.109: icmp_seq=1 ttl=47 time=4.08 ms 64 bytes from 119.75.217.109: icmp_seq=2 ttl=47 time=4.13 ms

3.Extended attributes

在 Linux 中的 Capabilities 是通过 extended attributes 中的 security 命名空间实现的。主流的 Linux 文件系统都支持 Extended attributes，包括 Ext2, Ext3, Ext4, Btrfs, JFS, XFS 和 Reiserfs.