Les capacités Linux sont des attributs spéciaux du noyau Linux qui accordent aux processus et aux exécutables binaires des privilèges spécifiques qui sont normalement réservés aux processus dont l'ID utilisateur effectif est 0 (l'utilisateur root, et uniquement l'utilisateur root, a UID 0).
Cet article expliquera certaines des capacités disponibles, leurs utilisations et comment les définir et les supprimer. Veuillez noter que la définition de capacités sur les exécutables peut compromettre la sécurité de votre système. En tant que tel, vous devriez envisager de tester sur un système hors production avant d'implémenter des capacités en production.
Essentiellement, l'objectif des capacités est de diviser la puissance de `` root '' en privilèges spécifiques, de sorte que si un processus ou un binaire qui possède une ou plusieurs capacités est exploité, les dommages potentiels sont limités par rapport au même processus exécuté en tant que root.
Les capacités peuvent être définies sur les processus et les fichiers exécutables. Un processus résultant de l'exécution d'un fichier peut gagner les capacités de ce fichier.
Les capacités implémentées sur Linux sont nombreuses, et beaucoup ont été ajoutées depuis leur version originale. Certains d'entre eux sont les suivants:
CAP_CHOWN: Modifiez l'ID utilisateur et l'ID groupe des fichiersCAP_DAC_OVERRIDE: Remplacer le DAC (contrôle d'accès discrétionnaire). Par exemple, vto contourne les vérifications des autorisations de lecture / écriture / exécution.CAP_KILL: Contourner les contrôles de permission pour envoyer des signaux aux processus. CAP_SYS_NICE: Augmenter la gentillesse des processus ( Une explication de la gentillesse peut être trouvée ici )CAP_SYS_TIME: Régler le système et l'horloge matérielle en temps réelPour la liste complète, exécutez man 7 capabilities.
Les capacités sont attribuées dans des ensembles, à savoir "autorisé", "héritable", "effectif" et "ambiant" pour les threads, et "autorisé", "héritable" et "effectif" pour les fichiers. Ces ensembles définissent différents comportements complexes, leur explication complète dépasse le cadre de cet article.
Lors de la définition des capacités dans un fichier, nous utiliserons presque toujours «autorisé» et «efficace», par exemple CAP_DAC_OVERRIDE+ep. Remarquez le +ep, qui désigne les ensembles susmentionnés.
Il existe deux principaux outils, getcapet setcapqui peuvent respectivement afficher et définir ces attributs.
libcap2-binpackage, qui peut être installé avec:apt install libcap2-binlibcappackage est nécessaire:yum install libcaplibcap:pacman -S libcapPour voir si un fichier a un ensemble de capacités, vous pouvez simplement exécuter getcap /full/path/to/binary, par exemple:
root@demo:~# getcap /usr/bin/ping
/usr/bin/ping = cap_net_raw+ep
root@demo:~# getcap /usr/bin/rcp
/usr/bin/rcp = cap_net_bind_service+ep
Si vous souhaitez savoir quelles fonctionnalités sont déjà définies sur votre système, vous pouvez rechercher récursivement l'ensemble de votre système de fichiers avec la commande suivante:
getcap -r /
En raison du fait que les systèmes de fichiers virtuels (tels que /proc) ne prennent pas en charge ces opérations, la commande ci-dessus produira des milliers d'erreurs, donc pour une sortie plus propre, utilisez ce qui suit:
getcap -r / 2>/dev/null
Pour définir une capacité particulière sur un fichier, utilisez setcap "capability_string" /path/to/file.
Pour supprimer toutes les fonctionnalités d'un fichier, utilisez setcap -r /path/to/file.
Pour démonstration, nous allons créer un fichier vierge dans le répertoire courant, lui donner une capacité et le supprimer. Commencez par ce qui suit:
root@demo:~# touch testfile
root@demo:~# getcap testfile
La deuxième commande ne produit aucune sortie, ce qui signifie que ce fichier n'a aucune capacité.
Ensuite, définissez une capacité pour le fichier:
root@demo:~# setcap "CAP_CHOWN+ep" testfile
root@demo:~# getcap testfile
testfile = cap_chown+ep
"CAP_CHOWN + ep" a été utilisé comme exemple, mais tout autre peut être attribué de cette manière.
Maintenant, supprimez toutes les fonctionnalités de testfile:
root@demo:~# setcap -r testfile
root@demo:~# getcap testfile
Encore une fois, il n'y aura pas de sortie, car "CAP_CHOWN + ep" a été supprimé.
Les capacités ont de nombreuses utilisations potentielles et peuvent aider à renforcer la sécurité de vos systèmes. Si vous utilisez le bit SUID sur vos exécutables, envisagez de le remplacer par la capacité spécifique requise.
Vous utilisez un système différent? MODX Revolution est un système de gestion de contenu (CMS) de niveau entreprise rapide, flexible, évolutif, gratuit et open source écrit i
McMyAdmin est un panneau de contrôle de serveur Minecraft utilisé pour administrer votre serveur. Bien que McMyAdmin soit gratuit, il existe plusieurs éditions, dont certaines sont pai
TeamTalk est un système de conférence qui permet aux utilisateurs davoir des conversations audio / vidéo de haute qualité, un chat textuel, de transférer des fichiers et de partager des écrans. Cest moi
Vous utilisez un système différent? Introduction CyberPanel est lun des premiers panneaux de contrôle du marché à la fois open source et utilisant OpenLiteSpeed. Quest-ce que
PhpBB est un programme de babillard open source. Cet article vous montrera comment installer phpBB sur un serveur Web Apache sur Ubuntu 16.04. Cétait écrit
Avoir un seul utilisateur, qui est root, peut être dangereux. Permet donc de résoudre ce problème. Vultr nous donne la liberté de faire ce que nous voulons avec nos utilisateurs et nos serveurs
Vous utilisez un système différent? ESpeak peut générer des fichiers audio de synthèse vocale (TTS). Ceux-ci peuvent être utiles pour de nombreuses raisons, telles que la création de votre propre Turin
Vous utilisez un système différent? Thelia est un outil open source pour la création de sites Web de commerce électronique et la gestion de contenu en ligne, écrit en PHP. Code source Thelia i
Vous utilisez un système différent? Fuel CMS est un système de gestion de contenu basé sur CodeIgniter. Son code source est hébergé sur GitHub. Ce guide vous montrera comment
Introduction Vous avez des problèmes de connectivité lorsque des visiteurs dautres pays accèdent à votre site Web? Vous vous demandez pourquoi la vitesse de téléchargement de votre Foreig
Vous utilisez un système différent? Ghost est une plate-forme de blogs open source qui gagne en popularité auprès des développeurs et des utilisateurs ordinaires depuis sa 201
Pip est un outil de gestion des packages Python. Lutilisation dun gestionnaire de packages permet une gestion efficace de votre serveur. Dans ce tutoriel, je vais expliquer comment t
BBR (Bottleneck Bandwidth and RTT) est un nouvel algorithme de contrôle de congestion qui est contribué à la pile TCP du noyau Linux par Google. Avec BBR en place,
Icinga 2 est un système de surveillance des ressources réseau open source largement utilisé, et Icinga Web 2 est linterface Web officielle pour Icinga 2. Dans ce didacticiel,
YOURLS (Your Own URL Shortener) est une application open source de raccourcissement dURL et danalyse de données. Dans cet article, nous couvrirons le processus dinstallation
Vous utilisez un système différent? TLS 1.3 est une version du protocole TLS (Transport Layer Security) qui a été publiée en 2018 en tant que norme proposée dans la RFC 8446
Cet article vous apprendra comment configurer une prison chroot sur Debian. Je suppose que vous utilisez Debian 7.x. Si vous utilisez Debian 6 ou 8, cela peut fonctionner, bu
Introduction Un moyen facile de configurer un serveur VPN sur Debian est avec PiVPN. PiVPN est un installateur et un wrapper pour OpenVPN. Il crée des commandes simples pour vous t
Vous utilisez un système différent? Alfresco Community Edition est une version open source des services de contenu Alfresco. Il est écrit en Java et utilise PostgreSQL t
Vous utilisez un système différent? RTMP est idéal pour diffuser du contenu en direct. Lorsque RTMP est associé à FFmpeg, les flux peuvent être convertis en différentes qualités. Vultr i
Découvrez comment générer une clé SSH pour accéder à votre serveur sans mot de passe. Suivez nos étapes faciles à comprendre pour créer et ajouter des clés SSH.
Découvrez comment créer un serveur de messagerie avec hMailServer sous Windows pour recevoir des e-mails facilement.
Les attaques de ransomware sont en augmentation, mais l'IA peut-elle aider à lutter contre le dernier virus informatique ? L'IA est-elle la réponse ? Lisez ici, sachez que l'IA est un boone ou un fléau
ReactOS, un système d'exploitation open source et gratuit est ici avec la dernière version. Cela peut-il suffire aux besoins des utilisateurs de Windows modernes et faire tomber Microsoft ? Découvrons-en plus sur cet ancien style, mais une expérience de système d'exploitation plus récente.
Whatsapp a finalement lancé l'application de bureau pour les utilisateurs Mac et Windows. Vous pouvez désormais accéder facilement à Whatsapp depuis Windows ou Mac. Disponible pour Windows 8+ et Mac OS 10.9+
Lisez ceci pour savoir comment l'intelligence artificielle devient populaire parmi les petites entreprises et comment elle augmente les probabilités de les faire grandir et de donner à leurs concurrents un avantage.
Récemment, Apple a publié macOS Catalina 10.15.4, une mise à jour supplémentaire pour résoudre les problèmes, mais il semble que la mise à jour cause davantage de problèmes, ce qui entraîne le bridage des machines mac. Lisez cet article pour en savoir plus
13 outils commerciaux d'extraction de données de Big Data
Notre ordinateur stocke toutes les données d'une manière organisée connue sous le nom de système de fichiers de journalisation. C'est une méthode efficace qui permet à l'ordinateur de rechercher et d'afficher des fichiers dès que vous appuyez sur la recherche.https://wethegeek.com/?p=94116&preview=true
Alors que la science évolue à un rythme rapide, prenant le pas sur une grande partie de nos efforts, les risques de nous soumettre à une Singularité inexplicable augmentent également. Lisez, ce que la singularité pourrait signifier pour nous.
