Gruppenmitgliedschaften und setuid / setgid-Prozesse

Prozesse, die Berechtigungen über de-eskalierensetuid() und setgid()die Gruppenmitgliedschaften der von ihnen festgelegten UID / GID nicht zu erben scheinen.

Ich habe einen Serverprozess, der als Root ausgeführt werden muss, um einen privilegierten Port zu öffnen. Danach deeskaliert es zu einer bestimmten nicht privilegierten UID / GID, ¹ - z. B. der des Benutzers foo(UID 73). Benutzer fooist Mitglied der Gruppe bar:

> cat /etc/group | grep bar
bar:x:54:foo

Wenn ich mich als anmelde foo, kann ich eine Datei /test.txtmit folgenden Merkmalen lesen :

> ls -l /test.txt
-rw-r----- 1 root bar 10 Mar  8 16:22 /test.txt

Allerdings das folgende C-Programm (kompilieren std=gnu99), wenn root ausgeführt wird:

#include <stdio.h>
#include <fcntl.h>
#include <unistd.h>

int main (void) {
    setgid(73);
    setuid(73);
    int fd = open("/test.txt", O_RDONLY);
    fprintf(stderr,"%d\n", fd);
    return 0;
}   

Meldet immer, dass die Berechtigung verweigert wurde . Ich stelle mir vor, dass dies damit zu tun hat, dass es sich nicht um einen Anmeldevorgang handelt, aber es behindert die Art und Weise, wie Berechtigungen funktionieren sollen.

^{1. Das ist oft SOP für Server, und ich denke, es muss einen Weg geben, dies zu umgehen, da ich einen Bericht von jemandem gefunden habe, der es mit Apache macht - Apache wurde der Audiogruppe hinzugefügt und kann anscheinend dann das Soundsystem verwenden. Natürlich geschieht dies wahrscheinlich in einem Fork und nicht im ursprünglichen Prozess, aber tatsächlich ist der Fall in meinem Kontext der gleiche (es ist ein untergeordneter Prozess, der nach dem Aufruf von setuid gegabelt wird).}

Das Problem ist , dass setuidund setgid nicht ausreichend sind , Ihrem Prozess die Anmeldeinformationen alle es braucht zu geben. Die Berechtigungen eines Prozesses hängen davon ab

• seine UID
• seine GID
• seine ergänzenden Gruppen
• seine Fähigkeiten.

Sehen Sie man 7 credentials, um eine detailliertere Übersicht zu erhalten. In Ihrem Fall besteht das Problem darin, dass Sie die UID und die GID korrekt festgelegt haben, aber nicht die zusätzlichen Gruppen des Prozesses. Und die Gruppe barhat GID 54, Nr. 73, sodass sie nicht als Gruppe erkannt wird, in der sich Ihr Prozess befindet.

Du solltest tun

#include <stdio.h>
#include <fcntl.h>
#include <unistd.h>
#include <grp.h>

int main (void) {
    gid_t supplementary_groups[] = {54};

    setgroups(1, supplementary_groups);
    setgid(73);
    setuid(73);
    int fd = open("/test.txt", O_RDONLY);
    fprintf(stderr,"%d\n", fd);
    return 0;
}  

OK, ein bisschen im Netz herumgeschleppt. Ich dachte zuerst, dass APUE alle Antworten enthalten würde, aber ich habe mich geirrt. Und meine Kopie (alte Ausgabe) ist in Arbeit, also ... Kapitel 5 des Unix- und Linux-Administrationshandbuchs sieht vielversprechend aus, aber ich habe es nicht (nur eine Kopie der ersten beiden Ausgaben, ebenfalls in Arbeit).

Die kleinen Ressourcen, die ich gefunden habe (Google für "Daemon Writing Unix"), sprechen alle über wichtige Schritte, wie das Trennen von der Tty usw. Aber nichts über UID / GID. Seltsamerweise scheint nicht einmal die umfangreiche HOWTO-Sammlung unter http://tldp.org Details zu enthalten. Nur excetion ist Jason Shorts schreiben Lassen Sie uns ein Linux - Daemon - Teil I . Alle Details darüber, wie SUID / SGID und all das Durcheinander funktionieren, sind Chen, Wagner und Deans SUID entmystifiziert (ein Artikel in USENIX 2002). Aber seien Sie vorsichtig, Linux hat eine zusätzliche UID, die FSUID ( eine Diskussion finden Sie in Wolters Unix-Inkompatibilitätshinweisen: UID-Einstellungsfunktionen ).

Das Dämonisieren eines Prozesses ist definitiv nichts für schwache Nerven. Allgemeine Sicherheitsüberlegungen finden Sie in D. Wheelers Secure Programming für Linux und Unix HOWTO - Erstellen sicherer Software . Systemd verspricht, das meiste davon zu vereinfachen (und damit den Spielraum für Fehler zu verringern, die zu Sicherheitsproblemen führen), siehe das Daemon-Handbuch .