linux capabilities

在Linux内核2.2之前，为了检查进程权限，将进程区分为两类：特权进程(euid=0)和非特权进程。特权进程(通常为带有suid的程序)可以获取完整的root权限来对系统进行操作。

在linux内核2.2之后引入了capabilities机制，来对root权限进行更加细粒度的划分。如果进程不是特权进程，而且也没有root的有效id，系统就会去检查进程的capabilities，来确认该进程是否有执行特权操作的的权限。

可以通过man capabilities来查看具体的capabilities。

capabilities 机制

Linux capabilities 分为进程 capabilities 和文件 capabilities。对于进程来说，capabilities 是细分到线程的，即每个线程可以有自己的capabilities。对于文件来说，capabilities 保存在文件的扩展属性中。

linux的线程拥有的capabilities一共有五种。

• Permitted

  它是Effective和Inheritable的超集。进程拥有的权限不会超过这个集合。如果一个进程在Permitted集合中丢失一个能力，它无论如何不能再次获取该能力(除非特权用户再次赋予它)

• Inheritable

  它是表明该进程可以通过execve继承给新进程的能力。包含在该集合中的 capabilities 并不会自动继承给新的可执行文件，即不会添加到新线程的 Effective 集合中，它只会影响新线程的 Permitted 集合。

• Effecitive

  进程的有效能力集，Linux内核真正检查的能力集。

• Bounding

  它是 Inheritable 集合的超集，如果某个 capability 不在 Bounding 集合中，即使它在 Permitted 集合中，该线程也不能将该 capability 添加到它的 Inheritable 集合中。

  Bounding 集合的 capabilities 在执行 fork() 系统调用时会传递给子进程的 Bounding 集合，并且在执行 execve 系统调用后保持不变。

  • 当线程运行时，不能向 Bounding 集合中添加 capabilities。
  • 一旦某个 capability 被从 Bounding 集合中删除，便不能再添加回来。
  • 将某个 capability 从 Bounding 集合中删除后，如果之前 Inherited 集合包含该 capability，将继续保留。但如果后续从 Inheritable 集合中删除了该 capability，便不能再添加回来。

• Ambient

  在Linux内核4.3后增加，用来弥补Inheritable 的不足。它可以用prctl来直接修改。Ambient 具有如下特性：

  • Permitted 和 Inheritable 未设置的 capabilities，Ambient 也不能设置。
  • 当 Permitted 和 Inheritable 关闭某权限后，Ambient 也随之关闭对应权限。这样就确保了降低权限后子进程也会降低权限。
  • 非特权用户如果在 Permitted 集合中有一个 capability，那么可以添加到 Ambient 集合中，这样它的子进程便可以在 Ambient、Permitted 和 Effective 集合中获取这个 capability。

文件的capabilities有三种。

• Permitted

  这个集合中包含的 capabilities，在文件被执行时，会与线程的 Bounding 集合计算交集，然后添加到线程的 Permitted 集合中。

• Inheritable

  这个集合与线程的 Inheritable 集合的交集，会被添加到执行完 execve() 后的线程的 Permitted 集合中。

• Effective

  这不是一个集合，仅仅是一个标志位。如果设置开启，那么在执行完 execve() 后，线程 Permitted 集合中的 capabilities 会自动添加到它的 Effective 集合中。对于一些旧的可执行文件，由于其不会调用 capabilities 相关函数设置自身的 Effective 集合，所以可以将可执行文件的 Effective bit 开启，从而可以将 Permitted 集合中的 capabilities 自动添加到 Effective 集合中。

capabilities继承

通过execve，后capabilities有如下关系来进行继承

其中P表示当前线程，P'表示被执行的线程，F表示可执行文件。

• 如果是root执行的execve，或者可执行文件带有suid，或者可执行文件拥有全部的能力集，则Ambient被置空，否则继承原始进程的Ambient

• 如果是root执行的execve，或者可执行文件带有suid，则文件的Inheritable和Permitted的能力集被全部置位为1，且Effective被置为1。所以此时新线程的Inheritable和Effective的能力集计算可简化为：

  1 2 3

  P'(permitted) = P(inheritable) | P(Bounding) P'(effective) = P'(permitted)

查看/修改capabilities

• 命令行方式

  线程的capabilities可以直接查看status文件。

  1 2 3 4 5

  CapInh: 0000000000000000 CapPrm: 0000000000000000 CapEff: 0000000000000000 CapBnd: 0000003fffffffff CapAmb: 0000000000000000

  然后可以通过capsh命令来解码拥有的权限

  1 2

  nathan@nathan-VirtualBox:/bin$ capsh --decode=0000003fffffffff 0x0000003fffffffff=cap_chown,cap_dac_override,cap_dac_read_search,cap_fowner,cap_fsetid,cap_kill,cap_setgid,cap_setuid,cap_setpcap,cap_linux_immutable,cap_net_bind_service,cap_net_broadcast,cap_net_admin,cap_net_raw,cap_ipc_lock,cap_ipc_owner,cap_sys_module,cap_sys_rawio,cap_sys_chroot,cap_sys_ptrace,cap_sys_pacct,cap_sys_admin,cap_sys_boot,cap_sys_nice,cap_sys_resource,cap_sys_time,cap_sys_tty_config,cap_mknod,cap_lease,cap_audit_write,cap_audit_control,cap_setfcap,cap_mac_override,cap_mac_admin,cap_syslog,cap_wake_alarm,cap_block_suspend,37

  文件的capabilities可以通过setcap和getcap来设置和查询

  1 2 3

  $ sudo setcap CAP_DAC_OVERRIDE+eip bash $ getcap bash bash = cap_dac_override+eip

• libcap.so

  ubuntu下可以直接通过如下命令安装

  1	$ sudo apt-get install libcap-dev

  通过如下接口可以对进程和文件的capability进行查询和设置。

  1 2 3 4 5 6 7 8 9 10 11 12 13

  cap_t cap_get_proc(void); cap_t cap_get_pid(pid_t pid); int cap_set_proc(cap_t cap_p); cap_t cap_get_file(const char *path_p); int cap_set_file(const char *path_p, cap_t cap_p); cap_t cap_get_fd(int fd); int cap_set_fd(int fd, cap_t caps);

  例子：

  1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21

  int main(int argc, char **argv) {         cap_t caps = cap_init();       cap_value_t caps[4] ={ CAP_NET_RAW, CAP_NET_BIND_SERVICE , CAP_CHOWN,CAP_SETPCAP } ;     unsigned num_caps = 4;     cap_set_flag(caps, CAP_EFFECTIVE, num_caps, caps, CAP_SET);     cap_set_flag(caps, CAP_INHERITABLE, num_caps, caps, CAP_SET);     cap_set_flag(caps, CAP_PERMITTED, num_caps, caps, CAP_SET);     cap_set_proc(caps);     cap_free(caps);     long i = 0;     caps = cap_get_proc();   printf("The process has capabilities %s\n",cap_to_text(caps, &i));   cap_free(caps);         return 0; }

提权

设置了capability也并不是万事大吉了。虽然被丢掉了大部分的能力，但是只要还有某些高危的能力，被丢掉的能力还是可以被添加回来。