Linux의 파일 권한

안녕하세요 여러분. 우리는 적극적으로 작업에 착수하고 있으며 이미 XNUMX월에 많은 강력한 출시를 준비하고 있습니다. 그 중에서도 모두가 좋아하는 새로운 과정의 등록이 발표되었습니다. "리눅스 관리자". 출시를 예상하여 우리는 전통적으로 유용한 자료의 번역을 공유합니다.

파일 권한은 SUID 실행 파일에 대한 안전한 대안을 제공하지만 처음에는 약간 혼란스러워 보일 수 있습니다.

우리 모두는 바이너리를 알고 있습니다. SUID 아르 плохим решением с точки зрения безопасности. 다행히 애플리케이션에 제한된 권한이 필요한 경우 다음과 같은 보다 효율적인 방법이 있습니다. 파일 권한.

위의 기사를 자세히 읽지 않으려면 시간을 절약해 드리겠습니다. 기본적으로 파일 권한은 루트로 실행되는 프로세스를 허용하므로 특정 기능을 유지하기 위해 작업을 수행할 수 있습니다. 이 목록권한을 삭제하고 권한이 없는 사용자가 실행할 때. 이는 공격자가 버퍼 오버플로 또는 기타 악용을 사용하여 프로세스를 손상시키는 경우 프로세스에 실제로 필요한 특정 최소 권한 외에는 어떤 것도 이용할 수 없음을 의미합니다.

권한은 일반적으로 항상 루트로 실행되는 서비스에 유용하지만 명령줄 유틸리티는 어떻습니까? 다행히도 올바른 유틸리티가 설치되어 있는 경우에도 이 기능이 지원됩니다. Ubuntu를 사용하는 경우 예를 들어 패키지가 필요합니다. libcap2-bin. 또한 비구식 커널(버전부터)을 실행해야 합니다. 2.6.24).

이러한 기능을 사용하면 SUID 비트 설정과 유사하게 권한을 실행 파일과 연결할 수 있지만 특정 권한 집합에 대해서만 가능합니다. 공익사업 setcap 파일에서 권한을 추가하고 제거하는 데 사용됩니다.

첫 번째 단계는 필요한 권한을 선택하는 것입니다. 이 기사에서는 다음과 같은 네트워크 진단 도구가 있다고 가정합니다. tracewalk, 이는 다음을 사용할 수 있어야 합니다. 원시 소켓. 일반적으로 응용 프로그램을 루트로 실행해야 하지만 볼 때 목록 허가만 필요하다는 것이 밝혀졌습니다 CAP_NET_RAW.

바이너리가 있는 디렉토리에 있다고 가정합니다. tracewalk, 다음과 같이 이 권한을 추가할 수 있습니다.

sudo setcap cap_net_raw=eip tracewalk

지금은 접미사를 무시하세요. =eip 해결 방법에 대해서는 몇 초 후에 이야기하겠습니다. 권한 이름은 소문자입니다. 이제 다음을 사용하여 권한을 올바르게 구성했는지 확인할 수 있습니다.

setcap -v cap_new_raw=eip tracewalk

또는 특정 실행 파일에 대해 설정된 모든 권한을 나열할 수 있습니다.

getcap tracewalk

참고로 다음을 사용하여 실행 파일에서 모든 권한을 제거할 수도 있습니다.

setcap -r tracewalk

이 시점에서 권한이 없는 사용자로 실행 파일을 실행할 수 있어야 하며 원시 소켓으로 작업할 수 있어야 하지만 루트 사용자가 갖는 다른 권한은 없어야 합니다.

그렇다면 이 이상한 접미사는 무엇을 의미하는 걸까요? =eip? 이를 위해서는 권한의 성격을 어느 정도 이해해야 합니다. 각 프로세스에는 세 가지 권한 세트가 있습니다. 효과적이고 상속 가능하며 허용됨:

• 효과적인 권한은 프로세스가 실제로 수행할 수 있는 작업을 정의하는 권한입니다. 예를 들어 다음과 같은 경우 원시 소켓을 처리할 수 없습니다. CAP_NET_RAW 유효 세트에 없습니다.
• 사용 가능 권한은 적절한 호출을 사용하여 요청하는 경우 프로세스가 가질 수 있는 권한입니다. 해당 권한을 요청하기 위해 특별히 작성되지 않은 한 프로세스가 실제로 어떤 작업도 수행하지 못하도록 방지합니다. 이를 통해 실제로 필요한 기간 동안에만 유효 집합에 중요한 권한을 추가하는 프로세스를 작성할 수 있습니다.
• 상속 가능 권한은 생성된 자식 프로세스의 액세스 가능한 집합에서 상속될 수 있는 권한입니다. 수술 중 fork() 또는 clone() 하위 프로세스에는 해당 시점에 여전히 동일한 실행 파일이 실행 중이므로 항상 상위 프로세스의 권한 사본이 제공됩니다. 상속 가능한 세트는 다음과 같은 경우에 사용됩니다. exec() (또는 이에 상응하는)이 호출되어 실행 파일을 다른 파일로 대체합니다. 이 시점에서 프로세스의 사용 가능한 집합은 새 프로세스에 사용될 액세스 가능한 집합을 얻기 위해 상속 가능한 집합으로 마스크됩니다.

그래서 유틸리티 setcap 이를 통해 특정 실행 파일에 대해 이 세 가지 세트의 권한을 독립적으로 추가할 수 있습니다. 그룹의 의미는 파일 권한에 따라 약간 다르게 해석됩니다.

• 사용 가능 파일 권한은 실행 파일을 호출한 상위 프로세스에 권한이 없더라도 실행 파일에 항상 사용할 수 있는 권한입니다. 예전에는 '강제' 허가라고 불렀습니다.
• 상속됨 파일 권한은 호출 프로세스 세트에서 권한을 제거하는 데에도 사용할 수 있는 추가 마스크를 정의합니다. 호출 프로세스의 상속된 집합에 추가로 적용되므로 두 집합에 모두 존재하는 경우에만 권한이 상속됩니다.
• 유효한 파일 권한은 실제로 세트가 아닌 단일 비트에 불과하며, 설정되면 사용 가능한 전체 세트가 새 프로세스의 유효 세트에도 복사된다는 의미입니다. 이는 권한을 요청하도록 특별히 작성되지 않은 프로세스에 권한을 추가하는 데 사용할 수 있습니다. XNUMX비트이므로 어떤 권한에 대해 설정했다면 모든 권한에 대해 설정해야 합니다. 권한을 지원하지 않는 응용 프로그램에서 권한을 사용할 수 있도록 허용하는 데 사용되므로 레거시 비트라고 생각할 수 있습니다.

다음을 통해 권한을 지정할 때 setcap 세 글자 e, i и p 관련하다 효과적이고 상속 가능하며 접근 가능 각각 설정합니다. 따라서 이전 사양은 다음과 같습니다.

sudo setcap cap_net_raw=eip tracewalk

...해상도를 나타냅니다. CAP_NET_RAW 사용 가능하고 상속 가능한 세트에 추가되어야 하며 유효 비트도 설정되어야 합니다. 이는 파일에 대해 이전에 설정된 권한을 재정의합니다. 한 번에 여러 권한을 설정하려면 쉼표로 구분된 목록을 사용하세요.

sudo setcap cap_net_admin,cap_net_raw=eip tracewalk

권한 안내 이 모든 것에 대해 더 자세히 논의하지만, 이 게시물이 무슨 일이 일어나고 있는지 좀 더 명확하게 설명해주기를 바랍니다. 언급할 몇 가지 주의 사항과 요령만 남았습니다.

첫째, 파일 기능은 심볼릭 링크와 함께 작동하지 않습니다. 이를 바이너리 파일 자체(즉, 심볼릭 링크의 대상)에 적용해야 합니다.

둘째, 해석된 스크립트에서는 작동하지 않습니다. 예를 들어, 권한을 할당하려는 Python 스크립트가 있는 경우 이를 Python 인터프리터 자체에 할당해야 합니다. 분명히 이것은 잠재적인 보안 문제입니다. 왜냐하면 해당 인터프리터로 실행된 모든 스크립트는 지정된 권한을 갖게 되지만 SUID로 만드는 것보다 여전히 훨씬 낫습니다. 가장 일반적인 해결 방법은 필요한 작업을 수행하고 스크립트에서 호출할 수 있는 별도의 실행 파일을 C 또는 이에 상응하는 언어로 작성하는 것 같습니다. 이는 바이너리를 사용하는 Wireshark에서 사용하는 접근 방식과 유사합니다. /usr/bin/dumpcap 권한 있는 작업을 수행하려면 다음을 수행합니다.

$ getcap /usr/bin/dumpcap 
/usr/bin/dumpcap = cap_net_admin,cap_net_raw+eip

셋째, 환경 변수를 사용하면 파일 권한이 비활성화됩니다. LD_LIBRARY_PATH 명백한 보안상의 이유로(1). 에도 동일하게 적용 LD_PRELOAD, 내가 아는 한.

1. 공격자는 분명히 표준 라이브러리 중 하나를 교체하고 사용할 수 있으므로 LD_LIBRARY_PATH해당 라이브러리가 시스템 라이브러리보다 우선적으로 호출되도록 하여 호출 애플리케이션과 동일한 권한으로 자체 임의 코드가 실행되도록 합니다.

그게 다야. 강좌 프로그램에 대한 자세한 내용은 다음에서 확인할 수 있습니다. 24월 XNUMX일에 열리는 웨비나입니다.

출처 : habr.com