Linuxhotel Wiki

Wie ging das nochmal?

Benutzer-Werkzeuge

Webseiten-Werkzeuge


admin_grundlagen:capabilities

Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen gezeigt.

Link zu der Vergleichsansicht

Beide Seiten, vorherige Überarbeitung Vorherige Überarbeitung
Nächste Überarbeitung
Vorherige Überarbeitung
admin_grundlagen:capabilities [2019/06/18 14:41]
ingo_wichmann [Doku]
admin_grundlagen:capabilities [2023/09/12 10:17] (aktuell)
sh [ping mit capability statt suid-Bit]
Zeile 1: Zeile 1:
 ====== ping mit capability statt suid-Bit ====== ====== ping mit capability statt suid-Bit ======
-  chmod u-/bin/ping + 
-  setcap cap_net_raw+p /bin/ping +Statt einem Programm über das SETUID-Bit **alle** Systemrechte zu geben, ist es sinnvoller, nur die Fähigkeiten (capabilities) zu geben, die das Programm zur Erfüllung seines Zwecks benötigt. Das setzt allerdings die Unterstützung des Kernels voraus, welches bestimmte Capabilities bereitstellt,​ die dann den Programmen gegeben werden können.  
-  ​getcap ​/bin/ping+ 
 +Mittels ''​man capabilities''​ kann man die vom verwendeten Kernel angebotenen Capabilities auflisten. 
 + 
 +  cat /usr/​bin/​ping ​> PING 
 +  ./PING 9.9.9.9 
 +als root 
 +  setcap cap_net_raw=./PING 
 +  getcap ./PING 
 +als user 
 +  ./PING 9.9.9.9 
 + 
 +Unter Debian nicht update-fest:​ 
 +  * [[http://​bugs.debian.org/​cgi-bin/bugreport.cgi?​bug=662845|Debian Bug 662845]] 
 +  ​* [[http://​bugs.debian.org/​cgi-bin/bugreport.cgi?​bug=502580|Debian Bug 502580]] 
 + 
 + 
 +Moderne Kernel :?: (oder eine andere black magick) erlauben ''​ping''​ auch ohne Capabilities. 
 +  sysctl -a | grep ping 
 + 
 +  setcap cap_net_raw,​cap_net_admin=pe /​usr/​sbin/​tcpdump 
 + 
 +Danach kann jeder User tcpdump benutzen 
  
 ====== einer (root) shell eine Capability entziehen ====== ====== einer (root) shell eine Capability entziehen ======
-  ​capsh --drop=cap_chown --+''​capsh''​ startet eine neue Shell mit veränderten Capabilities. 
 + 
 +  ​capsh --drop=cap_chown,​cap_net_raw ​--
   chown kurt /etc/passwd   chown kurt /etc/passwd
 +  ping 9.9.9.9
  
 ====== Welcher Prozess hat welche Capabilities?​ ====== ====== Welcher Prozess hat welche Capabilities?​ ======
-Pakete: libcap-ng-utils ​(Debian, Ubuntu)+Pakete: libcap-ng-utils ​
   pscap   pscap
  
admin_grundlagen/capabilities.1560868914.txt.gz · Zuletzt geändert: 2019/06/18 14:41 von ingo_wichmann