ਲੀਨਕਸ ਵਿੱਚ ਫਾਈਲ ਅਨੁਮਤੀਆਂ

ਸਾਰਿਆਂ ਨੂੰ ਸਤਿ ਸ਼੍ਰੀ ਅਕਾਲ. ਅਸੀਂ ਸਰਗਰਮੀ ਨਾਲ ਕੰਮ ਵਿੱਚ ਆ ਰਹੇ ਹਾਂ ਅਤੇ ਜਨਵਰੀ ਵਿੱਚ ਪਹਿਲਾਂ ਹੀ ਕਈ ਸ਼ਕਤੀਸ਼ਾਲੀ ਲਾਂਚਾਂ ਦੀ ਤਿਆਰੀ ਕਰ ਰਹੇ ਹਾਂ। ਹੋਰਾਂ ਵਿੱਚ, ਹਰ ਕਿਸੇ ਦੇ ਮਨਪਸੰਦ ਕੋਰਸ ਦੀ ਇੱਕ ਨਵੀਂ ਧਾਰਾ ਲਈ ਦਾਖਲੇ ਦਾ ਐਲਾਨ ਕੀਤਾ ਗਿਆ ਹੈ। "ਲੀਨਕਸ ਪ੍ਰਸ਼ਾਸਕ". ਲਾਂਚ ਦੀ ਉਮੀਦ ਵਿੱਚ, ਅਸੀਂ ਰਵਾਇਤੀ ਤੌਰ 'ਤੇ ਉਪਯੋਗੀ ਸਮੱਗਰੀ ਦੇ ਅਨੁਵਾਦ ਸਾਂਝੇ ਕਰਦੇ ਹਾਂ।

ਫਾਈਲ ਅਨੁਮਤੀਆਂ SUID ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਲਈ ਇੱਕ ਸੁਰੱਖਿਅਤ ਵਿਕਲਪ ਪੇਸ਼ ਕਰਦੀਆਂ ਹਨ, ਪਰ ਪਹਿਲਾਂ ਥੋੜਾ ਉਲਝਣ ਵਾਲਾ ਲੱਗ ਸਕਦਾ ਹੈ।

ਅਸੀਂ ਸਾਰੇ ਜਾਣਦੇ ਹਾਂ ਕਿ ਬਾਈਨਰੀਆਂ ਦੱਖਣ ਹਨ ਸੁਰੱਖਿਆ ਦ੍ਰਿਸ਼ਟੀਕੋਣ ਤੋਂ ਮਾੜਾ ਫੈਸਲਾ. ਖੁਸ਼ਕਿਸਮਤੀ ਨਾਲ, ਜੇਕਰ ਤੁਹਾਡੀ ਅਰਜ਼ੀ ਨੂੰ ਕੁਝ ਸੀਮਤ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਦੀ ਲੋੜ ਹੈ, ਤਾਂ ਇੱਕ ਹੋਰ ਕੁਸ਼ਲ ਤਰੀਕਾ ਹੈ ਜਿਸਨੂੰ ਕਿਹਾ ਜਾਂਦਾ ਹੈ ਫਾਈਲ ਅਨੁਮਤੀਆਂ.

ਜੇਕਰ ਤੁਸੀਂ ਉਪਰੋਕਤ ਲੇਖ ਨੂੰ ਵਿਸਥਾਰ ਵਿੱਚ ਪੜ੍ਹਨ ਤੋਂ ਬਚਣਾ ਚਾਹੁੰਦੇ ਹੋ ਤਾਂ ਮੈਂ ਤੁਹਾਡਾ ਕੁਝ ਸਮਾਂ ਬਚਾਵਾਂਗਾ: ਜ਼ਰੂਰੀ ਤੌਰ 'ਤੇ, ਫਾਈਲ ਅਨੁਮਤੀਆਂ ਉਹਨਾਂ ਪ੍ਰਕਿਰਿਆਵਾਂ ਦੀ ਆਗਿਆ ਦਿੰਦੀਆਂ ਹਨ ਜੋ ਰੂਟ ਦੇ ਤੌਰ 'ਤੇ ਚੱਲਦੀਆਂ ਹਨ ਅਤੇ ਇਸਲਈ ਕੁਝ ਸਮਰੱਥਾਵਾਂ ਨੂੰ ਬਰਕਰਾਰ ਰੱਖਣ ਲਈ ਕੁਝ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ, ਸੀਮਤ ਇਹ ਸੂਚੀਜਦੋਂ ਉਹ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰਾਂ ਨੂੰ ਛੱਡ ਦਿੰਦੇ ਹਨ ਅਤੇ ਇੱਕ ਗੈਰ-ਅਧਿਕਾਰਤ ਉਪਭੋਗਤਾ ਦੁਆਰਾ ਚਲਾਇਆ ਜਾਂਦਾ ਹੈ। ਇਸਦਾ ਮਤਲਬ ਇਹ ਹੈ ਕਿ ਜੇਕਰ ਕੋਈ ਹਮਲਾਵਰ ਇੱਕ ਬਫਰ ਓਵਰਫਲੋ ਜਾਂ ਹੋਰ ਸ਼ੋਸ਼ਣ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਇੱਕ ਪ੍ਰਕਿਰਿਆ ਨਾਲ ਸਮਝੌਤਾ ਕਰਨ ਦਾ ਪ੍ਰਬੰਧ ਕਰਦਾ ਹੈ, ਤਾਂ ਉਹ ਕੁਝ ਖਾਸ ਅਧਿਕਾਰਾਂ ਤੋਂ ਇਲਾਵਾ ਕਿਸੇ ਹੋਰ ਚੀਜ਼ ਦਾ ਲਾਭ ਨਹੀਂ ਲੈ ਸਕਣਗੇ ਜਿਸਦੀ ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਅਸਲ ਵਿੱਚ ਲੋੜ ਹੁੰਦੀ ਹੈ।

ਅਨੁਮਤੀਆਂ ਉਹਨਾਂ ਸੇਵਾਵਾਂ ਲਈ ਬਹੁਤ ਵਧੀਆ ਹਨ ਜੋ ਆਮ ਤੌਰ 'ਤੇ ਹਮੇਸ਼ਾ ਰੂਟ ਵਜੋਂ ਚਲਦੀਆਂ ਹਨ, ਪਰ ਕਮਾਂਡ ਲਾਈਨ ਉਪਯੋਗਤਾਵਾਂ ਬਾਰੇ ਕੀ? ਖੁਸ਼ਕਿਸਮਤੀ ਨਾਲ, ਇਹ ਵੀ ਸਮਰਥਿਤ ਹੈ ਬਸ਼ਰਤੇ ਤੁਹਾਡੇ ਕੋਲ ਸਹੀ ਉਪਯੋਗਤਾਵਾਂ ਸਥਾਪਤ ਹੋਣ। ਜੇਕਰ ਤੁਸੀਂ ਉਬੰਟੂ ਦੀ ਵਰਤੋਂ ਕਰ ਰਹੇ ਹੋ, ਤਾਂ ਤੁਹਾਨੂੰ ਉਦਾਹਰਨ ਲਈ ਪੈਕੇਜ ਦੀ ਲੋੜ ਪਵੇਗੀ libcap2-bin. ਤੁਹਾਨੂੰ ਇੱਕ ਗੈਰ-ਪੁਰਾਤਨ ਕਰਨਲ (ਵਰਜਨ ਤੋਂ 2.6.24).

ਇਹ ਫੰਕਸ਼ਨ ਅਨੁਮਤੀਆਂ ਨੂੰ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲਾਂ ਨਾਲ ਜੋੜਨ ਦੀ ਆਗਿਆ ਦਿੰਦੇ ਹਨ, ਜਿਵੇਂ ਕਿ SUID ਬਿੱਟ ਸੈੱਟ ਕਰਨ ਦੇ ਸਮਾਨ ਹੈ, ਪਰ ਸਿਰਫ ਅਨੁਮਤੀਆਂ ਦੇ ਇੱਕ ਖਾਸ ਸੈੱਟ ਲਈ। ਉਪਯੋਗਤਾ setcap ਇੱਕ ਫਾਈਲ ਤੋਂ ਅਨੁਮਤੀਆਂ ਜੋੜਨ ਅਤੇ ਹਟਾਉਣ ਲਈ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ।

ਪਹਿਲਾ ਕਦਮ ਹੈ ਤੁਹਾਨੂੰ ਲੋੜੀਂਦੀਆਂ ਇਜਾਜ਼ਤਾਂ ਦੀ ਚੋਣ ਕਰਨਾ। ਇਸ ਲੇਖ ਦੀ ਖ਼ਾਤਰ, ਮੈਂ ਇਹ ਮੰਨ ਰਿਹਾ ਹਾਂ ਕਿ ਇੱਕ ਨੈਟਵਰਕ ਡਾਇਗਨੌਸਟਿਕ ਟੂਲ ਕਿਹਾ ਜਾਂਦਾ ਹੈ tracewalk, ਜੋ ਕਿ ਵਰਤਣ ਦੇ ਯੋਗ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ ਕੱਚੇ ਸਾਕਟ. ਇਸ ਲਈ ਆਮ ਤੌਰ 'ਤੇ ਐਪਲੀਕੇਸ਼ਨ ਨੂੰ ਰੂਟ ਵਜੋਂ ਚਲਾਉਣ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ, ਪਰ ਦੇਖਣ ਵੇਲੇ ਸੂਚੀ ਇਹ ਪਤਾ ਚਲਦਾ ਹੈ ਕਿ ਸਿਰਫ਼ ਇਜਾਜ਼ਤ ਦੀ ਲੋੜ ਹੈ CAP_NET_RAW.

ਇਹ ਮੰਨ ਕੇ ਕਿ ਤੁਸੀਂ ਉਸ ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਹੋ ਜਿੱਥੇ ਬਾਈਨਰੀ ਸਥਿਤ ਹੈ tracewalk, ਤੁਸੀਂ ਇਸ ਅਨੁਮਤੀ ਨੂੰ ਇਸ ਤਰ੍ਹਾਂ ਜੋੜ ਸਕਦੇ ਹੋ:

sudo setcap cap_net_raw=eip tracewalk

ਹੁਣ ਲਈ ਪਿਛੇਤਰ ਨੂੰ ਅਣਡਿੱਠ ਕਰੋ =eip ਹੱਲ ਲਈ, ਮੈਂ ਇਸ ਬਾਰੇ ਕੁਝ ਸਕਿੰਟਾਂ ਵਿੱਚ ਗੱਲ ਕਰਾਂਗਾ। ਨੋਟ ਕਰੋ ਕਿ ਇਜਾਜ਼ਤ ਦਾ ਨਾਮ ਛੋਟੇ ਅੱਖਰਾਂ ਵਿੱਚ ਹੈ। ਤੁਸੀਂ ਹੁਣ ਜਾਂਚ ਕਰ ਸਕਦੇ ਹੋ ਕਿ ਕੀ ਤੁਸੀਂ ਅਧਿਕਾਰਾਂ ਨੂੰ ਇਸ ਨਾਲ ਸਹੀ ਢੰਗ ਨਾਲ ਕੌਂਫਿਗਰ ਕੀਤਾ ਹੈ:

setcap -v cap_new_raw=eip tracewalk

ਜਾਂ ਤੁਸੀਂ ਦਿੱਤੇ ਗਏ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਲਈ ਸੈੱਟ ਕੀਤੀਆਂ ਸਾਰੀਆਂ ਅਨੁਮਤੀਆਂ ਨੂੰ ਸੂਚੀਬੱਧ ਕਰ ਸਕਦੇ ਹੋ:

getcap tracewalk

ਸੰਦਰਭ ਲਈ, ਤੁਸੀਂ ਇਸ ਨਾਲ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਤੋਂ ਸਾਰੀਆਂ ਅਨੁਮਤੀਆਂ ਨੂੰ ਵੀ ਹਟਾ ਸਕਦੇ ਹੋ:

setcap -r tracewalk

ਇਸ ਬਿੰਦੂ 'ਤੇ, ਤੁਹਾਨੂੰ ਇੱਕ ਗੈਰ-ਅਧਿਕਾਰਤ ਉਪਭੋਗਤਾ ਵਜੋਂ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਨੂੰ ਚਲਾਉਣ ਦੇ ਯੋਗ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਇਹ ਕੱਚੇ ਸਾਕਟਾਂ ਨਾਲ ਕੰਮ ਕਰਨ ਦੇ ਯੋਗ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ, ਪਰ ਰੂਟ ਉਪਭੋਗਤਾ ਕੋਲ ਕੋਈ ਹੋਰ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਨਹੀਂ ਹਨ।

ਤਾਂ ਇਸ ਅਜੀਬ ਪਿਛੇਤਰ ਦਾ ਕੀ ਅਰਥ ਹੈ? =eip? ਇਸ ਲਈ ਇਜਾਜ਼ਤਾਂ ਦੀ ਪ੍ਰਕਿਰਤੀ ਬਾਰੇ ਕੁਝ ਸਮਝ ਦੀ ਲੋੜ ਹੈ। ਹਰੇਕ ਪ੍ਰਕਿਰਿਆ ਵਿੱਚ ਅਨੁਮਤੀਆਂ ਦੇ ਤਿੰਨ ਸੈੱਟ ਹੁੰਦੇ ਹਨ - ਪ੍ਰਭਾਵੀ, ਵਿਰਾਸਤੀ ਅਤੇ ਆਗਿਆ ਪ੍ਰਾਪਤ:

• ਅਸਰਦਾਰ ਅਨੁਮਤੀਆਂ ਉਹ ਹਨ ਜੋ ਪਰਿਭਾਸ਼ਿਤ ਕਰਦੀਆਂ ਹਨ ਕਿ ਇੱਕ ਪ੍ਰਕਿਰਿਆ ਅਸਲ ਵਿੱਚ ਕੀ ਕਰ ਸਕਦੀ ਹੈ। ਉਦਾਹਰਨ ਲਈ, ਇਹ ਕੱਚੇ ਸਾਕਟਾਂ ਨਾਲ ਨਜਿੱਠ ਨਹੀਂ ਸਕਦਾ ਜੇ CAP_NET_RAW ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਸੈੱਟ ਵਿੱਚ ਨਹੀਂ ਹੈ।
• ਉਪਲੱਬਧ ਅਨੁਮਤੀਆਂ ਉਹ ਹੁੰਦੀਆਂ ਹਨ ਜੋ ਕਿਸੇ ਪ੍ਰਕਿਰਿਆ ਦੀ ਇਜਾਜ਼ਤ ਹੁੰਦੀ ਹੈ ਜੇਕਰ ਇਹ ਉਹਨਾਂ ਨੂੰ ਉਚਿਤ ਕਾਲ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਬੇਨਤੀ ਕਰਦਾ ਹੈ। ਉਹ ਕਿਸੇ ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਅਸਲ ਵਿੱਚ ਕੁਝ ਵੀ ਕਰਨ ਤੋਂ ਰੋਕਦੇ ਹਨ ਜਦੋਂ ਤੱਕ ਇਹ ਵਿਸ਼ੇਸ਼ ਤੌਰ 'ਤੇ ਕਹੀ ਗਈ ਇਜਾਜ਼ਤ ਦੀ ਬੇਨਤੀ ਕਰਨ ਲਈ ਨਹੀਂ ਲਿਖਿਆ ਗਿਆ ਸੀ। ਇਹ ਪ੍ਰਕਿਰਿਆਵਾਂ ਨੂੰ ਸਿਰਫ਼ ਉਸ ਅਵਧੀ ਲਈ ਪ੍ਰਭਾਵੀ ਸੈੱਟ ਵਿੱਚ ਮਹੱਤਵਪੂਰਣ ਅਨੁਮਤੀਆਂ ਜੋੜਨ ਲਈ ਲਿਖਣ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ ਜਦੋਂ ਉਹਨਾਂ ਦੀ ਅਸਲ ਵਿੱਚ ਲੋੜ ਹੁੰਦੀ ਹੈ।
• ਵਿਰਾਸਤੀ ਅਨੁਮਤੀਆਂ ਉਹ ਹਨ ਜੋ ਪੈਦਾ ਕੀਤੇ ਚਾਈਲਡ ਪ੍ਰਕਿਰਿਆ ਦੇ ਪਹੁੰਚਯੋਗ ਸਮੂਹ ਵਿੱਚ ਵਿਰਾਸਤ ਵਿੱਚ ਪ੍ਰਾਪਤ ਕੀਤੀਆਂ ਜਾ ਸਕਦੀਆਂ ਹਨ। ਸਰਜਰੀ ਦੇ ਦੌਰਾਨ fork() ਜ clone() ਚਾਈਲਡ ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਹਮੇਸ਼ਾ ਮਾਤਾ-ਪਿਤਾ ਪ੍ਰਕਿਰਿਆ ਦੀਆਂ ਅਨੁਮਤੀਆਂ ਦੀ ਇੱਕ ਕਾਪੀ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ ਕਿਉਂਕਿ ਇਹ ਅਜੇ ਵੀ ਉਸ ਬਿੰਦੂ 'ਤੇ ਉਹੀ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਚੱਲ ਰਹੀ ਹੈ। ਜਦੋਂ ਇੱਕ ਵਿਰਾਸਤੀ ਸੈੱਟ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ exec() (ਜਾਂ ਬਰਾਬਰ) ਨੂੰ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ ਨੂੰ ਕਿਸੇ ਹੋਰ ਨਾਲ ਬਦਲਣ ਲਈ ਕਿਹਾ ਜਾਂਦਾ ਹੈ। ਇਸ ਬਿੰਦੂ 'ਤੇ, ਪ੍ਰਕਿਰਿਆ ਦੇ ਉਪਲਬਧ ਸੈੱਟ ਨੂੰ ਪਹੁੰਚਯੋਗ ਸੈੱਟ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ ਵਿਰਾਸਤੀ ਸੈੱਟ ਦੁਆਰਾ ਮਾਸਕ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਜੋ ਨਵੀਂ ਪ੍ਰਕਿਰਿਆ ਲਈ ਵਰਤਿਆ ਜਾਵੇਗਾ।

ਇਸ ਲਈ ਉਪਯੋਗਤਾ setcap ਸਾਨੂੰ ਦਿੱਤੇ ਗਏ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਲਈ ਇਹਨਾਂ ਤਿੰਨ ਸੈੱਟਾਂ ਦੀਆਂ ਇਜਾਜ਼ਤਾਂ ਨੂੰ ਸੁਤੰਤਰ ਤੌਰ 'ਤੇ ਜੋੜਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ। ਨੋਟ ਕਰੋ ਕਿ ਫਾਈਲ ਅਨੁਮਤੀਆਂ ਲਈ ਸਮੂਹਾਂ ਦੇ ਅਰਥਾਂ ਨੂੰ ਥੋੜ੍ਹਾ ਵੱਖਰਾ ਸਮਝਿਆ ਜਾਂਦਾ ਹੈ:

• ਉਪਲਬਧ ਫਾਈਲ ਅਨੁਮਤੀਆਂ ਉਹ ਹੁੰਦੀਆਂ ਹਨ ਜੋ ਇੱਕ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ ਲਈ ਹਮੇਸ਼ਾਂ ਉਪਲਬਧ ਹੁੰਦੀਆਂ ਹਨ, ਭਾਵੇਂ ਕਿ ਪੇਰੈਂਟ ਪ੍ਰਕਿਰਿਆ ਜਿਸ ਨੇ ਇਸਨੂੰ ਬੁਲਾਇਆ ਹੈ ਉਹਨਾਂ ਕੋਲ ਨਹੀਂ ਹੈ। ਉਹਨਾਂ ਨੂੰ "ਜ਼ਬਰਦਸਤੀ" ਪਰਮਿਟ ਕਿਹਾ ਜਾਂਦਾ ਸੀ।
• ਵਿਰਸੇ ਵਿੱਚ ਮਿਲੀ ਫਾਈਲ ਅਨੁਮਤੀਆਂ ਇੱਕ ਵਾਧੂ ਮਾਸਕ ਨੂੰ ਪਰਿਭਾਸ਼ਿਤ ਕਰਦੀਆਂ ਹਨ ਜਿਸਦੀ ਵਰਤੋਂ ਕਾਲਿੰਗ ਪ੍ਰਕਿਰਿਆ ਦੇ ਸੈੱਟ ਤੋਂ ਅਨੁਮਤੀਆਂ ਨੂੰ ਹਟਾਉਣ ਲਈ ਵੀ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ। ਉਹ ਕਾਲਿੰਗ ਪ੍ਰਕਿਰਿਆ ਦੇ ਵਿਰਾਸਤੀ ਸੈੱਟ ਤੋਂ ਇਲਾਵਾ ਲਾਗੂ ਹੁੰਦੇ ਹਨ, ਇਸਲਈ ਅਨੁਮਤੀ ਕੇਵਲ ਤਾਂ ਹੀ ਪ੍ਰਾਪਤ ਕੀਤੀ ਜਾਂਦੀ ਹੈ ਜੇਕਰ ਇਹ ਦੋਵੇਂ ਸੈੱਟਾਂ ਵਿੱਚ ਮੌਜੂਦ ਹੈ।
• ਅਸਰਦਾਰ ਫਾਈਲ ਅਨੁਮਤੀਆਂ ਅਸਲ ਵਿੱਚ ਸਿਰਫ ਇੱਕ ਬਿੱਟ ਹਨ, ਇੱਕ ਸੈੱਟ ਨਹੀਂ, ਅਤੇ ਜੇਕਰ ਸੈੱਟ ਕੀਤਾ ਗਿਆ ਹੈ, ਤਾਂ ਇਸਦਾ ਮਤਲਬ ਹੈ ਕਿ ਪੂਰੇ ਉਪਲਬਧ ਸੈੱਟ ਨੂੰ ਵੀ ਨਵੀਂ ਪ੍ਰਕਿਰਿਆ ਦੇ ਪ੍ਰਭਾਵੀ ਸੈੱਟ ਵਿੱਚ ਕਾਪੀ ਕੀਤਾ ਗਿਆ ਹੈ। ਇਸਦੀ ਵਰਤੋਂ ਉਹਨਾਂ ਪ੍ਰਕਿਰਿਆਵਾਂ ਲਈ ਅਨੁਮਤੀਆਂ ਜੋੜਨ ਲਈ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ ਜੋ ਉਹਨਾਂ ਨੂੰ ਬੇਨਤੀ ਕਰਨ ਲਈ ਖਾਸ ਤੌਰ 'ਤੇ ਨਹੀਂ ਲਿਖੀਆਂ ਗਈਆਂ ਸਨ। ਕਿਉਂਕਿ ਇਹ ਇੱਕ ਬਿੱਟ ਹੈ, ਜੇਕਰ ਤੁਸੀਂ ਇਸਨੂੰ ਕਿਸੇ ਵੀ ਅਨੁਮਤੀ ਲਈ ਸੈੱਟ ਕਰਦੇ ਹੋ, ਤਾਂ ਇਹ ਸਾਰੀਆਂ ਅਨੁਮਤੀਆਂ ਲਈ ਸੈੱਟ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ। ਤੁਸੀਂ ਇਸਨੂੰ ਇੱਕ ਵਿਰਾਸਤੀ ਬਿੱਟ ਵਜੋਂ ਸੋਚ ਸਕਦੇ ਹੋ ਕਿਉਂਕਿ ਇਸਦੀ ਵਰਤੋਂ ਉਹਨਾਂ ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੁਆਰਾ ਅਨੁਮਤੀਆਂ ਦੀ ਵਰਤੋਂ ਕਰਨ ਲਈ ਕੀਤੀ ਜਾਂਦੀ ਹੈ ਜੋ ਉਹਨਾਂ ਦਾ ਸਮਰਥਨ ਨਹੀਂ ਕਰਦੇ ਹਨ।

ਦੁਆਰਾ ਅਨੁਮਤੀਆਂ ਨਿਰਧਾਰਤ ਕਰਦੇ ਸਮੇਂ setcap ਤਿੰਨ ਅੱਖਰ e, i и p ਵੇਖੋ ਪ੍ਰਭਾਵਸ਼ਾਲੀ, ਵਿਰਾਸਤੀ ਅਤੇ ਪਹੁੰਚਯੋਗ ਕ੍ਰਮਵਾਰ ਸੈੱਟ ਕਰਦਾ ਹੈ. ਇਸ ਲਈ, ਪਹਿਲਾਂ ਦੀਆਂ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ:

sudo setcap cap_net_raw=eip tracewalk

...ਦੱਸਦਾ ਹੈ ਕਿ ਰੈਜ਼ੋਲੂਸ਼ਨ CAP_NET_RAW ਉਪਲਬਧ ਅਤੇ ਵਿਰਾਸਤੀ ਸੈੱਟਾਂ ਵਿੱਚ ਸ਼ਾਮਲ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ ਅਤੇ ਪ੍ਰਭਾਵੀ ਬਿੱਟ ਵੀ ਸੈੱਟ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ। ਇਹ ਫ਼ਾਈਲ 'ਤੇ ਕਿਸੇ ਵੀ ਪਹਿਲਾਂ ਸੈੱਟ ਕੀਤੀਆਂ ਇਜਾਜ਼ਤਾਂ ਨੂੰ ਓਵਰਰਾਈਡ ਕਰ ਦੇਵੇਗਾ। ਇੱਕ ਵਾਰ ਵਿੱਚ ਕਈ ਅਨੁਮਤੀਆਂ ਸੈਟ ਕਰਨ ਲਈ, ਕੌਮੇ ਨਾਲ ਵੱਖ ਕੀਤੀ ਸੂਚੀ ਦੀ ਵਰਤੋਂ ਕਰੋ:

sudo setcap cap_net_admin,cap_net_raw=eip tracewalk

ਅਨੁਮਤੀਆਂ ਗਾਈਡ ਇਸ ਸਭ ਬਾਰੇ ਵਧੇਰੇ ਵਿਸਤਾਰ ਵਿੱਚ ਚਰਚਾ ਕਰਦਾ ਹੈ, ਪਰ ਉਮੀਦ ਹੈ ਕਿ ਇਸ ਪੋਸਟ ਨੇ ਥੋੜਾ ਜਿਹਾ ਕੀ ਹੋ ਰਿਹਾ ਹੈ, ਨੂੰ ਅਸਪਸ਼ਟ ਕਰ ਦਿੱਤਾ ਹੈ. ਜ਼ਿਕਰ ਕਰਨ ਲਈ ਸਿਰਫ ਕੁਝ ਕੁ ਚੇਤਾਵਨੀਆਂ ਅਤੇ ਚਾਲਾਂ ਬਚੀਆਂ ਹਨ.

ਪਹਿਲਾਂ, ਫਾਈਲ ਸਮਰੱਥਾਵਾਂ ਸਿਮਲਿੰਕਸ ਨਾਲ ਕੰਮ ਨਹੀਂ ਕਰਦੀਆਂ - ਤੁਹਾਨੂੰ ਉਹਨਾਂ ਨੂੰ ਖੁਦ ਬਾਈਨਰੀ ਫਾਈਲ (ਜਿਵੇਂ ਕਿ ਸਿਮਲਿੰਕ ਦਾ ਨਿਸ਼ਾਨਾ) 'ਤੇ ਲਾਗੂ ਕਰਨਾ ਪਏਗਾ।

ਦੂਜਾ, ਉਹ ਵਿਆਖਿਆ ਵਾਲੀਆਂ ਸਕ੍ਰਿਪਟਾਂ ਨਾਲ ਕੰਮ ਨਹੀਂ ਕਰਦੇ। ਉਦਾਹਰਨ ਲਈ, ਜੇਕਰ ਤੁਹਾਡੇ ਕੋਲ ਇੱਕ ਪਾਈਥਨ ਸਕ੍ਰਿਪਟ ਹੈ ਜਿਸ ਲਈ ਤੁਸੀਂ ਇਜਾਜ਼ਤ ਦੇਣਾ ਚਾਹੁੰਦੇ ਹੋ, ਤਾਂ ਤੁਹਾਨੂੰ ਇਸਨੂੰ ਖੁਦ ਪਾਇਥਨ ਦੁਭਾਸ਼ੀਏ ਨੂੰ ਸੌਂਪਣਾ ਚਾਹੀਦਾ ਹੈ। ਸਪੱਸ਼ਟ ਤੌਰ 'ਤੇ ਇਹ ਇੱਕ ਸੰਭਾਵੀ ਸੁਰੱਖਿਆ ਮੁੱਦਾ ਹੈ ਕਿਉਂਕਿ ਫਿਰ ਉਸ ਦੁਭਾਸ਼ੀਏ ਨਾਲ ਚੱਲਣ ਵਾਲੀਆਂ ਸਾਰੀਆਂ ਸਕ੍ਰਿਪਟਾਂ ਨੂੰ ਨਿਰਧਾਰਤ ਅਨੁਮਤੀ ਹੋਵੇਗੀ, ਹਾਲਾਂਕਿ ਇਹ ਅਜੇ ਵੀ ਇਸਨੂੰ SUID ਬਣਾਉਣ ਨਾਲੋਂ ਮਹੱਤਵਪੂਰਨ ਤੌਰ 'ਤੇ ਬਿਹਤਰ ਹੈ। ਸਭ ਤੋਂ ਆਮ ਹੱਲ C ਜਾਂ ਬਰਾਬਰ ਵਿੱਚ ਇੱਕ ਵੱਖਰਾ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਲਿਖਣਾ ਜਾਪਦਾ ਹੈ ਜੋ ਲੋੜੀਂਦੇ ਓਪਰੇਸ਼ਨ ਕਰ ਸਕਦਾ ਹੈ ਅਤੇ ਇਸਨੂੰ ਇੱਕ ਸਕ੍ਰਿਪਟ ਤੋਂ ਕਾਲ ਕਰ ਸਕਦਾ ਹੈ। ਇਹ ਵਾਇਰਸ਼ਾਰਕ ਦੁਆਰਾ ਵਰਤੀ ਗਈ ਪਹੁੰਚ ਦੇ ਸਮਾਨ ਹੈ ਜੋ ਇੱਕ ਬਾਈਨਰੀ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ /usr/bin/dumpcap ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਪ੍ਰਾਪਤ ਕਾਰਜ ਕਰਨ ਲਈ:

$ getcap /usr/bin/dumpcap 
/usr/bin/dumpcap = cap_net_admin,cap_net_raw+eip

ਤੀਜਾ, ਜੇਕਰ ਤੁਸੀਂ ਵਾਤਾਵਰਣ ਵੇਰੀਏਬਲ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋ ਤਾਂ ਫਾਈਲ ਅਨੁਮਤੀਆਂ ਅਸਮਰੱਥ ਹੁੰਦੀਆਂ ਹਨ LD_LIBRARY_PATH ਸਪੱਸ਼ਟ ਸੁਰੱਖਿਆ ਕਾਰਨਾਂ ਕਰਕੇ(1). ਇਸੇ 'ਤੇ ਲਾਗੂ ਹੁੰਦਾ ਹੈ LD_PRELOAD, ਜਿੱਥੋ ਤੱਕ ਮੈਨੂੰ ਪਤਾ ਹੈ.

1. ਕਿਉਂਕਿ ਇੱਕ ਹਮਲਾਵਰ ਸਪੱਸ਼ਟ ਤੌਰ 'ਤੇ ਮਿਆਰੀ ਲਾਇਬ੍ਰੇਰੀਆਂ ਵਿੱਚੋਂ ਇੱਕ ਨੂੰ ਬਦਲ ਸਕਦਾ ਹੈ ਅਤੇ ਵਰਤੋਂ ਕਰ ਸਕਦਾ ਹੈ LD_LIBRARY_PATHਇਸਦੀ ਲਾਇਬ੍ਰੇਰੀ ਨੂੰ ਇੱਕ ਸਿਸਟਮ ਦੀ ਤਰਜੀਹ ਵਿੱਚ ਬੁਲਾਉਣ ਲਈ ਮਜਬੂਰ ਕਰਨ ਲਈ, ਅਤੇ ਇਸਲਈ ਕਾਲਿੰਗ ਐਪਲੀਕੇਸ਼ਨ ਦੇ ਸਮਾਨ ਅਧਿਕਾਰਾਂ ਨਾਲ ਇਸਦਾ ਆਪਣਾ ਆਪਹੁਦਰਾ ਕੋਡ ਲਾਗੂ ਕੀਤਾ ਗਿਆ ਹੈ।

ਇਹ ਸਭ ਹੈ. ਕੋਰਸ ਪ੍ਰੋਗਰਾਮ ਬਾਰੇ ਹੋਰ ਵੇਰਵੇ ਇੱਥੇ ਮਿਲ ਸਕਦੇ ਹਨ ਵੈਬਿਨਾਰ, ਜੋ ਕਿ 24 ਜਨਵਰੀ ਨੂੰ ਹੋਵੇਗਾ।

ਸਰੋਤ: www.habr.com