Linux 进程功能为空，尽管可执行文件已设置

Question

我有一个包装程序，它仅用于将CAP_NET_RAW 功能添加到 nodejs 脚本。该二进制文件已将功能设置为cap_net_raw+eip，但该进程没有获取它们并且设置它们会导致EPERM (Operation not permitted)。从 Debian 9 升级到 10 后，包装器停止工作。向 nodejs 二进制文件添加功能可以工作，并且 nodejs 脚本运行良好，但不希望允许对任何 nodejs 脚本的网络适配器进行原始访问。

这是包装源代码：

#include <sys/capability.h>
#include <unistd.h>

void main() {
        cap_t caps = cap_get_proc();
        cap_value_t newcaps[1] = { CAP_NET_RAW, };
        cap_set_flag(caps, CAP_INHERITABLE, 1, newcaps, CAP_SET);
        cap_set_proc(caps);
        cap_free(caps);
        execl("/usr/bin/node", "node", "/opt/sitemp/sitemp.js", NULL);
}

在 strace 下运行结果如下：

capget({version=_LINUX_CAPABILITY_VERSION_3, pid=0}, NULL) = 0
capget({version=_LINUX_CAPABILITY_VERSION_3, pid=0}, {effective=0, permitted=0, inheritable=0}) = 0
capset({version=_LINUX_CAPABILITY_VERSION_3, pid=0}, {effective=0, permitted=0, inheritable=1<<CAP_NET_RAW}) = -1 EPERM (Operation not permitted)

Answer 1

评论太长，这里有更完整的解释。

首先，文件功能仅适用于二进制文件。

让我们称您的包装程序为wrapper.c（编译为wrapper）。它被编码做的是提高一个可继承的能力。可继承功能可以使随后执行的程序具有特权的方式是它们与可执行文件上的“文件可继承”功能AND。

也就是说，你可以这样做：

$ sudo setcap cap_net_raw=p ./wrapper
$ sudo setcap cap_net_raw=ie /usr/bin/node

现在，当您执行 ./wrapper 时，它将引发可继承的能力，当它 execl()s /usr/bin/node 时，组合将继承并提高正在运行的/usr/bin/node 的允许和有效标志中的cap_net_raw 能力程序。

如果您不使用./wrapper，您将没有进程可继承的能力，/usr/bin/node 将不会继承任何特权。

或者，您可以清除这些功能并将您的 wrapper.c 修改为如下所示：

#include <stdio.h>
#include <stdlib.h>
#include <sys/capability.h>
#include <unistd.h>

void main() {
    cap_iab_t iab = cap_iab_from_text("^cap_net_raw");
    if (iab == NULL) {
        perror("iab not parsed");
        exit(1);
    }
    if (cap_iab_set_proc(iab)) {
        perror("unable to set iab");
        exit(1);
    }
    cap_free(iab);
    execl("/usr/bin/node", "node", "/opt/sitemp/sitemp.js", NULL);
    perror("execl failed");
}

您需要编译并设置此版本的wrapper 如下：

$ sudo setcap -r /usr/bin/node
$ cc -o wrapper wrapper.c -lcap
$ sudo setcap cap_net_raw,cap_setpcap=p ./wrapper

现在，当您运行 ./wrapper 时，它将同时提升 Ambient 和 Inheritable 功能，并且组合将导致 /usr/bin/node 直接从 ./wrapper 继承一些特权。