編集-1

Question

能力はプロセスの属性です。伝統的に3つのグループがあります。

許可された機能（血）：現在のプロセスで「アクティブ化」できる機能です。
有効能力（金利）：現在のプロセスで現在利用可能な機能です。
遺伝能力（私): 継承できるファイル機能です。

ルートとして実行されるプログラムは常に完全に受け入れられ、有効な機能を持っているので、より多くの機能を「追加」しても顕著な効果はありません。（継承可能な機能セットは通常空です。）デフォルトでは、setcap cap_net_raw+ep pingこのプログラムを実行しているすべてのユーザーに対してこれらの機能を有効にします。

残念ながら、これらの関数は実行されたファイルにバインドされており、新しい子プロセスを実行した後も保持されません。 Linux 4.3 リリース環境能力これにより、子プロセスが機能を継承できます。（あなたも見ることができますexecve() 中の関数変換存在する能力(7).)

機能を使用するときは、次のトラップに注意してください。

ユーザーをrootからroot以外のユーザーに変更すると、有効かつ許可された権限が消去されます（参照：ユーザーIDの変更が機能に与える影響存在する能力(7)）。--keep=1オプションを使用すると、capshコレクションが消去されるのを防ぎます。
ユーザーまたはグループIDを変更すると、環境機能セットがクリアされます。回避策：環境機能の追加後ろにユーザーIDを変更しましたが、今後子プロセスを実行します。
許可された機能セットと継承可能な機能セットの両方にすでに存在する場合にのみ、機能を環境機能セットに追加できます。

libcap 2.26以降、capshプログラムは次のオプションで環境機能を変更する機能を得ました--addamb。犯罪）。オプションの順序が重要です。使用例：

sudo capsh --caps="cap_net_raw+eip cap_setpcap,cap_setuid,cap_setgid+ep" \
    --keep=1 --user=nobody --addamb=cap_net_raw -- \
    -c "./ping -c1 127.0.0.1"

ヒント：--printコマンドラインの任意の場所にこのオプションを追加して、capsh現在の機能を確認できます。

注：cap_setpcapは必須--addamb、オプションはcap_setuid,cap_setgid必須です--user。

Answer 1

能力はプロセスの属性です。伝統的に3つのグループがあります。

許可された機能（血）：現在のプロセスで「アクティブ化」できる機能です。
有効能力（金利）：現在のプロセスで現在利用可能な機能です。
遺伝能力（私): 継承できるファイル機能です。

ルートとして実行されるプログラムは常に完全に受け入れられ、有効な機能を持っているので、より多くの機能を「追加」しても顕著な効果はありません。（継承可能な機能セットは通常空です。）デフォルトでは、setcap cap_net_raw+ep pingこのプログラムを実行しているすべてのユーザーに対してこれらの機能を有効にします。

残念ながら、これらの関数は実行されたファイルにバインドされており、新しい子プロセスを実行した後も保持されません。 Linux 4.3 リリース環境能力これにより、子プロセスが機能を継承できます。（あなたも見ることができますexecve() 中の関数変換存在する能力(7).)

機能を使用するときは、次のトラップに注意してください。

ユーザーをrootからroot以外のユーザーに変更すると、有効かつ許可された権限が消去されます（参照：ユーザーIDの変更が機能に与える影響存在する能力(7)）。--keep=1オプションを使用すると、capshコレクションが消去されるのを防ぎます。
ユーザーまたはグループIDを変更すると、環境機能セットがクリアされます。回避策：環境機能の追加後ろにユーザーIDを変更しましたが、今後子プロセスを実行します。
許可された機能セットと継承可能な機能セットの両方にすでに存在する場合にのみ、機能を環境機能セットに追加できます。

libcap 2.26以降、capshプログラムは次のオプションで環境機能を変更する機能を得ました--addamb。犯罪）。オプションの順序が重要です。使用例：

sudo capsh --caps="cap_net_raw+eip cap_setpcap,cap_setuid,cap_setgid+ep" \
    --keep=1 --user=nobody --addamb=cap_net_raw -- \
    -c "./ping -c1 127.0.0.1"

ヒント：--printコマンドラインの任意の場所にこのオプションを追加して、capsh現在の機能を確認できます。

注：cap_setpcapは必須--addamb、オプションはcap_setuid,cap_setgid必須です--user。

編集-1

編集-1

編集2

編集3

編集4

編集5

ベストアンサー1

おすすめ記事