إمكانات Linux هي سمات خاصة في نواة Linux تمنح العمليات والملفات التنفيذية الثنائية امتيازات محددة محفوظة عادةً للعمليات التي يكون معرف المستخدم الفعال فيها 0 (المستخدم الجذر ، والمستخدم الأساسي فقط ، لديه UID 0).
تشرح هذه المقالة بعض الإمكانات المتاحة واستخداماتها وكيفية تعيينها وإزالتها. يرجى ملاحظة أن تعيين القدرات على الملفات التنفيذية لديه القدرة على المساس بأمن النظام الخاص بك. على هذا النحو ، يجب أن تفكر في الاختبار على نظام غير إنتاجي قبل تنفيذ القدرات في الإنتاج.
بشكل أساسي ، الهدف من القدرات هو تقسيم قوة "الجذر" إلى امتيازات محددة ، بحيث إذا تم استغلال عملية أو ثنائي لديه قدرة واحدة أو أكثر ، فإن الضرر المحتمل يكون محدودًا عند مقارنته بنفس العملية التي يعمل بها الجذر.
يمكن تعيين القدرات على العمليات والملفات القابلة للتنفيذ. يمكن للعملية الناتجة عن تنفيذ ملف اكتساب قدرات هذا الملف.
إن الإمكانات التي تم تنفيذها على Linux عديدة ، وقد تمت إضافة الكثير منذ إصدارها الأصلي. بعض منها على النحو التالي:
CAP_CHOWN: قم بإجراء تغييرات على معرف المستخدم ومعرف المجموعة للملفاتCAP_DAC_OVERRIDE: تجاوز DAC (التحكم في الوصول التقديري). على سبيل المثال ، vto تجاوز تجاوزات إذن القراءة / الكتابة / التنفيذ.CAP_KILL: التحقق من إذن التجاوز لإرسال إشارات إلى العمليات. CAP_SYS_NICE: رفع رقة العمليات ( يمكن العثور على شرح لجمال هنا )CAP_SYS_TIME: تعيين النظام وساعة الأجهزة في الوقت الحقيقيللحصول على القائمة الكاملة ، قم بتشغيل man 7 capabilities.
يتم تعيين الإمكانيات في مجموعات ، وهي "مسموح بها" و "قابلة للتوريث" و "فعالة" و "محيطة" لمؤشرات الترابط و "مسموح بها" و "قابلة للتوريث" و "فعالة" للملفات. تحدد هذه المجموعات السلوكيات المعقدة المختلفة ، وتفسيرها الكامل يتجاوز نطاق هذه المقالة.
عند ضبط القدرات في الملف ، سنستخدم دائمًا "المسموح به" و "الفعال" ، على سبيل المثال CAP_DAC_OVERRIDE+ep. لاحظ +ep، الذي يشير إلى المجموعات المذكورة أعلاه.
هناك نوعان من الأدوات الرئيسية، getcapو setcapالتي يمكن عرضها على التوالي وتعيين هذه الصفات.
libcap2-binالحزمة ، والتي يمكن تثبيتها مع:apt install libcap2-binlibcapالحزمة مطلوبة:yum install libcaplibcapأيضًا من خلال:pacman -S libcapلمعرفة ما إذا كان الملف يحتوي على أي قدرات ، يمكنك ببساطة تشغيل getcap /full/path/to/binary، على سبيل المثال:
root@demo:~# getcap /usr/bin/ping
/usr/bin/ping = cap_net_raw+ep
root@demo:~# getcap /usr/bin/rcp
/usr/bin/rcp = cap_net_bind_service+ep
إذا كنت ترغب في معرفة الإمكانيات التي تم تعيينها بالفعل على نظامك ، فيمكنك البحث في نظام الملفات بالكامل بشكل متكرر باستخدام الأمر التالي:
getcap -r /
نظرًا لحقيقة أن أنظمة الملفات الظاهرية (مثل /proc) لا تدعم هذه العمليات ، فإن الأمر أعلاه سينتج آلاف الأخطاء ، لذلك للحصول على إخراج أنظف ، استخدم ما يلي:
getcap -r / 2>/dev/null
لتعيين قدرة معينة على ملف ، استخدم setcap "capability_string" /path/to/file.
لإزالة جميع القدرات من ملف ، استخدم setcap -r /path/to/file.
من أجل العرض التوضيحي ، سننشئ ملفًا فارغًا في الدليل الحالي ونمنحه إمكانية وإزالته. ابدأ بما يلي:
root@demo:~# touch testfile
root@demo:~# getcap testfile
لا ينتج الأمر الثاني أي إخراج ، مما يعني أن هذا الملف ليس لديه أي قدرة.
بعد ذلك ، قم بتعيين قدرة للملف:
root@demo:~# setcap "CAP_CHOWN+ep" testfile
root@demo:~# getcap testfile
testfile = cap_chown+ep
تم استخدام "CAP_CHOWN + ep" كمثال ، ولكن يمكن تعيين أي طريقة أخرى بهذه الطريقة.
الآن ، قم بإزالة كافة القدرات من testfile:
root@demo:~# setcap -r testfile
root@demo:~# getcap testfile
مرة أخرى ، لن يكون هناك إخراج ، لأنه تمت إزالة "CAP_CHOWN + ep".
للقدرات العديد من الاستخدامات المحتملة ويمكن أن تساعد في تشديد أمان أنظمتك. إذا كنت تستخدم بت SUID على الملفات التنفيذية الخاصة بك ، ففكر في استبدالها بالقدرة المحددة المطلوبة.
LiteCart عبارة عن منصة سلة تسوق مجانية ومفتوحة المصدر مكتوبة بلغة PHP و jQuery و HTML 5. وهي عبارة عن برنامج بسيط وخفيف الوزن وسهل الاستخدام للتجارة الإلكترونية
NFS هو نظام ملفات قائم على الشبكة يسمح لأجهزة الكمبيوتر بالوصول إلى الملفات عبر شبكة الكمبيوتر. يوضح هذا الدليل كيف يمكنك فضح المجلدات عبر NF
استخدام نظام مختلف؟ Matomo (Piwik سابقًا) هو نظام أساسي مفتوح المصدر للتحليلات ، وهو بديل مفتوح لبرنامج Google Analytics. مصدر Matomo مستضاف
TeamTalk هو نظام مؤتمرات يتيح للمستخدمين إجراء محادثات صوتية / مرئية عالية الجودة ، والدردشة النصية ، ونقل الملفات ، ومشاركة الشاشات. أنا
استخدام نظام مختلف؟ مقدمة تعد CyberPanel واحدة من أولى لوحات التحكم في السوق مفتوحة المصدر وتستخدم OpenLiteSpeed. ما هذا
Ruby on Rails هو إطار عمل شهير لـ Ruby تم تطويره لزيادة إنتاجية المبرمجين. ومع ذلك ، الحصول على الجواهر والتبعيات المختلفة ر
يوفر Vultr عدة طرق مختلفة للوصول إلى VPS لتكوين وتثبيت واستخدام. بيانات اعتماد الوصول بيانات اعتماد الوصول الافتراضية لـ VPS الخاص بك
استخدام نظام مختلف؟ Brotli هو طريقة ضغط جديدة مع نسبة ضغط أفضل من GZIP. تتم استضافة رمز المصدر الخاص به علنًا على Githu هذا
استخدام نظام مختلف؟ OpenNMS عبارة عن منصة إدارة شبكة مفتوحة المصدر على مستوى المؤسسات يمكن استخدامها لمراقبة وإدارة العديد من الأجهزة
مقدمة: التأليف والإصدار الموزع على الويب (WebDAV) هو امتداد HTTP يوفر إطار عمل لإنشاء الملفات وتعديلها عن بُعد على
مقدمة يتميز MySQL بميزة رائعة تعرف باسم طرق العرض. المشاهدات هي استعلامات مخزنة. اعتبرها اسمًا مستعارًا لاستعلام طويل. في هذا الدليل ،
استخدام نظام مختلف؟ Omeka Classic 2.4 CMS هو نظام نشر رقمي مجاني ومفتوح المصدر ونظام إدارة المحتوى (CMS) لمشاركة الصور الرقمية
استخدام نظام مختلف؟ DokuWiki هو برنامج ويكي مفتوح المصدر مكتوب بلغة PHP ولا يتطلب قاعدة بيانات. يقوم بتخزين البيانات في ملفات نصية. DokuWik
ستعلمك هذه المقالة كيفية إعداد سجن سريع على دبيان. أفترض أنك تستخدم Debian 7.x. إذا كنت تقوم بتشغيل دبيان 6 أو 8 ، فقد يعمل هذا ، ولكن
مقدمة طريقة سهلة لإعداد خادم VPN على دبيان هي PiVPN. PiVPN هو أداة تثبيت وغلاف لـ OpenVPN. يخلق أوامر بسيطة لك
استخدام نظام مختلف؟ مقدمة تعد CyberPanel واحدة من أولى لوحات التحكم في السوق مفتوحة المصدر وتستخدم OpenLiteSpeed. ما هذا
استخدام نظام مختلف؟ Ghost هي منصة تدوين مفتوحة المصدر اكتسبت شعبية بين المطورين والمستخدمين العاديين منذ عام 201
RockMongo هي أداة إدارة MongoDB على الويب تشبه أداة إدارة MySQL: phpMyAdmin. سيغطي هذا البرنامج التعليمي عملية التثبيت
Lets Chat هو تطبيق دردشة مفتوح المصدر مصمم لتوفير خدمة الرسائل ذاتية الاستضافة للفرق الصغيرة. يعتمد Lets Chat على NodeJS و MongoDB
استخدام نظام مختلف؟ Taiga هو تطبيق مجاني ومفتوح المصدر لإدارة المشاريع. على عكس أدوات إدارة المشاريع الأخرى ، يستخدم Taiga زيادة
نظرة ثاقبة على 26 أسلوبًا لتحليل البيانات الضخمة: الجزء الأول
يعرف الكثير منكم أن Switch سيصدر في مارس 2017 وميزاته الجديدة. بالنسبة لأولئك الذين لا يعرفون ، قمنا بإعداد قائمة بالميزات التي تجعل "التبديل" "أداة لا غنى عنها".
هل تنتظر عمالقة التكنولوجيا للوفاء بوعودهم؟ تحقق من ما تبقى دون تسليم.
اقرأ المدونة لمعرفة الطبقات المختلفة في بنية البيانات الضخمة ووظائفها بأبسط طريقة.
اقرأ هذا لمعرفة مدى انتشار الذكاء الاصطناعي بين الشركات الصغيرة وكيف أنه يزيد من احتمالات نموها ومنح منافسيها القدرة على التفوق.
لقد أصبح حل CAPTCHA صعبًا جدًا على المستخدمين في السنوات القليلة الماضية. هل ستكون قادرة على أن تظل فعالة في اكتشاف البريد العشوائي والروبوتات في المستقبل القريب؟
مع تطور العلم بمعدل سريع ، واستلام الكثير من جهودنا ، تزداد أيضًا مخاطر تعريض أنفسنا إلى تفرد غير قابل للتفسير. اقرأ ، ماذا يمكن أن يعني التفرد بالنسبة لنا.
ما هو التطبيب عن بعد والرعاية الصحية عن بعد وأثره على الأجيال القادمة؟ هل هو مكان جيد أم لا في حالة الوباء؟ اقرأ المدونة لتجد طريقة عرض!
ربما سمعت أن المتسللين يكسبون الكثير من المال ، لكن هل تساءلت يومًا كيف يجنون هذا النوع من المال؟ دعنا نناقش.
أصدرت Apple مؤخرًا macOS Catalina 10.15.4 تحديثًا تكميليًا لإصلاح المشكلات ولكن يبدو أن التحديث يتسبب في المزيد من المشكلات التي تؤدي إلى إنشاء أجهزة macOS. قراءة هذه المادة لمعرفة المزيد
