अस्थायी रूप से रूट से विशेषाधिकार कैसे छोड़ें?

Question

मैं रूट के रूप में चल रहा है एक डेमॉन विकासशील रहा हूँ, लेकिन उपयोगकर्ता के साथ एक API कॉल करने के लिए की जरूरत है, मैं एपीआई कोड की जाँच की, यह getuid() का उपयोग करता है उपयोगकर्ता के लिए। जड़ उपयोगकर्ता setuid() द्वारा विशेषाधिकार चला जाता है

हैं, तो यह जड़ को पुनर्स्थापित नहीं किया जा सकता है। यदि seteuid() को कॉल करना है, तो एपीआई अभी भी उपयोगकर्ता uid=0 के रूप में कुछ करेगा।

मैं बच्चे प्रक्रिया में एपीआई और setuid तक पहुँचने से पहले काम करना चाहिए कांटा लगता है, लेकिन फिर भी गाय अगर, यह बहुत अगर कई बार एपीआई बुला खर्च होंगे। प्रक्रिया पूल का उपयोग करने के अलावा समस्या को हल करना संभव है?

Answer 1

हाँ! एक भी प्रक्रिया बनाएँ उचित यूआईडी के साथ एपीआई फोन और एक पाइप, एक UNIX डोमेन सॉकेट या (साझा स्मृति) के माध्यम से कार्यक्रम के बाकी के साथ संवाद करने के लिए।

मेरा मतलब है, कांटा केवल एक बार और विशेषाधिकार प्राप्त उपयोगकर्ता किसी अन्य प्रक्रिया चालू रखने के। फिर आवश्यक होने पर और आवश्यकतानुसार दोनों के बीच संचार बनाएं। साथ ही, आप dbus का उपयोग करने पर विचार करना चाहेंगे क्योंकि यह systemd और आधुनिक लिनक्स पर पूरी तरह से एकीकृत करता है, आप चाहते हैं कि आपका डिमन दोनों के साथ अच्छी तरह से बातचीत करे।

नोट: मैं इस विषय पर कोई विशेषज्ञ नहीं हूं, लेकिन यह एक साधारण विचार है जो मुझे स्पष्ट लगता है। आपको एपीआई को प्रत्येक कॉल के लिए प्रक्रिया बनाने की आवश्यकता नहीं है। यह XY problem, असली समस्या यह है कि आप को हल करना चाहते का एक अच्छा उदाहरण है, fork() कई बार करने के लिए से बचने क्योंकि गलत समाधान है कि कर के विचार के साथ कोई संबंध नहीं है। आपको केवल fork() की आवश्यकता है, विशेषाधिकार छोड़ें और विशेषाधिकारों के बिना वहां रहें, यदि आवश्यक हो तो माता-पिता प्रक्रिया के साथ संवाद कर रहे हैं।

---

_{किसी भी भारतीय दंड संहिता तंत्र है कि आप के लिए काम करता है।}

Answer 2

here से

:

आम तौर पर जब एक प्रक्रिया निष्पादित किया जाता है, प्रभावी, असली, और बचाया उपयोगकर्ता और समूह आईडी सभी वास्तविक उपयोगकर्ता और समूह प्रक्रिया की पेरेंट ID के लिए क्रमश: स्थापित कर रहे हैं। हालांकि, जब सेट्यूड बिट निष्पादन योग्य पर सेट होता है, तो प्रभावी और सहेजी गई उपयोगकर्ता आईडी फ़ाइल आईडी के उपयोगकर्ता आईडी पर सेट की जाती हैं।

Answer 3

आप बचाया प्रक्रिया के यूआईडी में पूर्व प्रभावी uid स्टोर कर सकते हैं:

uid_t real = getuid(); 
uid_t privileged = geteuid(); 
setresuid(real, real, privileged); 
do_API_call(); // API's getuid() call now returns real 
setresuid(real, privileged, -1); // allowed, since saved==privileged 

वहाँ एक इसी setresgid बचाया GIDs उपयोग करने के लिए, भी है।

---

ध्यान दें कि यह जवाब लिनक्स के लिए विशिष्ट है (प्रश्न टैग के अनुसार)। एचपी-यूएक्स और कुछ बीएसडी सिस्टम पर एक समान कॉल मौजूद है, लेकिन मैंने जांच नहीं की है कि अर्थशास्त्र समान हैं।

---

वास्तव में, आगे पढ़ने setreuid() पर पर्याप्त (और POSIX-conformant) होना चाहिए।setuid() का कहना है:

फोन करने वाले के प्रभावी यूआईडी जड़ है: असली यूआईडी, और बचाया सेट उपयोगकर्ता के आईडी भी सेट कर रहे हैं (अधिक सटीक अगर फोन करने वाले CAP_SETUID क्षमता है)।

और

उपयोगकर्ता जड़ है या प्रोग्राम सेट उपयोगकर्ता के आईडी-जड़, विशेष ध्यान रखा जाना चाहिए होता है। setuid() समारोह फोन करने वाले के प्रभावी यूजर आईडी की जांच करता है और अगर यह सुपर उपयोगकर्ता है, सभी प्रक्रिया से संबंधित यूजर आईडी के uid को सेट कर रहे हैं। ऐसा होने के बाद, कार्यक्रम के लिए रूट विशेषाधिकार हासिल करना असंभव है।

लेकिन setreuid() के लिए ऐसा कोई कथन नहीं है।

Answer 4

एप्राइपिएट अनधिकृत सामान करने के लिए बस seteuid(2) पर कॉल करें। seteuid(2)वास्तविक (या सहेजे गए) उपयोगकर्ता आईडी (जो आपके मामले में SUID प्रोग्राम या root लॉन्च करता है) के बीच स्विच करने की अनुमति देता है और SUID उपयोगकर्ता आईडी (एक सूड प्रोग्राम से संबंधित है) तो वहां नहीं होना चाहिए बाद में विशेषाधिकार प्राप्त उपयोगकर्ता आईडी प्राप्त करने में समस्या (चूंकि सहेजी गई उपयोगकर्ता आईडी root है, तो आपको बार-बार स्विच करने के लिए कोई समस्या नहीं है)।

आप setuid(2) साथ UIDs बदलते हैं तो आपको सभी (प्रभावी, बचाया और वास्तविक UIDs) बदल देंगे और यह केवल जड़ उपयोगकर्ता के लिए अनुमति दी है (या एक कार्यक्रम setuid जड़ है, और कोई रास्ता नहीं है फिर वापस नहीं है)। अगले उदाहरण पर

देखो:

फ़ाइल pru49015.c:

$ pru49015 -i 37 
real uid=502; effective uid=0 
real uid=502; effective uid=37 
real uid=502; effective uid=502 

जब एक setuid-रूट कार्यक्रम

रूप में इस्तेमाल किया:

#include <stdio.h> 
#include <stdlib.h> 
#include <getopt.h> 

int main(int argc, char **argv) 
{ 
    int opt, suid = getuid(), /* this is the saved uid */ 
     uid = 0; 
    while ((opt = getopt(argc, argv, "i:")) != EOF) { 
     switch (opt) { 
     case 'i': uid = atoi(optarg); break; 
     } 
    } 
    /* execute this program with root privileges, like setuid root, for example */ 
    printf("real uid=%d; effective uid=%d\n", getuid(), geteuid()); 
    seteuid(uid); /* change to the non-privileged id configured */ 
    printf("real uid=%d; effective uid=%d\n", getuid(), geteuid()); 
    seteuid(suid); /* return back to saved uid */ 
    printf("real uid=%d; effective uid=%d\n", getuid(), geteuid()); 
} 

आप इस तरह एक आउटपुट मिल जाएगा

यदि आप इसे रूट के रूप में उपयोग करते हैं, तो आपको निम्न आउटपुट मिलेगा:

$ sudo pru$$ -i 37 
real uid=0; effective uid=0 
real uid=0; effective uid=37 
real uid=0; effective uid=0 

तंत्र है कि आप उपयोगकर्ता के बीच स्विच करने के लिए आप (इसे बचाया प्रयोक्ता आईडी कॉल) कर रहे हैं एक setuid- कार्यक्रम पर अनुमति दी जाती है और उपयोगकर्ता कार्यक्रम (बुलाया प्रभावी उपयोगकर्ता के लिए setuid चलाता है आईडी या suid उपयोगकर्ता) जितनी बार चाहें उतनी बार।