리눅스 기능으로 작업하기

• 소개
• 전제 조건
• 설명
• 파일 기능 작업
• 결론

소개

Linux 기능은 프로세스 및 이진 실행 파일에 유효 사용자 ID가 0 인 프로세스 (일반적으로 루트 사용자 만 UID 0을 갖는)에 대해 예약 된 특정 권한을 부여하는 Linux 커널의 특수 속성입니다.

이 기사에서는 사용 가능한 기능 중 일부, 사용법 및 설정 및 제거 방법에 대해 설명합니다. 실행 파일에서 기능을 설정하면 시스템 보안이 손상 될 수 있습니다. 따라서 프로덕션 기능을 구현하기 전에 비 프로덕션 시스템에서의 테스트를 고려해야합니다.

전제 조건

• 루트 액세스 권한이있는 Linux 시스템 (루트 사용자 또는 sudo 액세스 권한이있는 사용자를 통해)

설명

기본적으로 기능의 목표는 '루트'의 힘을 특정 권한으로 나누는 것입니다. 따라서 하나 이상의 기능을 가진 프로세스 나 이진을 이용하는 경우 루트와 동일한 프로세스와 비교할 때 잠재적 손상이 제한됩니다.

프로세스 및 실행 파일에서 기능을 설정할 수 있습니다. 파일 실행으로 인한 프로세스는 해당 파일의 기능을 얻을 수 있습니다.

Linux에서 구현 된 기능은 다양하며 원래 릴리스 이후 많은 기능이 추가되었습니다. 그들 중 일부는 다음과 같습니다.

• CAP_CHOWN: 파일의 사용자 ID 및 그룹 ID를 변경하십시오.
• CAP_DAC_OVERRIDE: DAC (임의 액세스 제어)를 재정의합니다. 예를 들어, vto 바이 패스 읽기 / 쓰기 / 실행 권한 검사.
• CAP_KILL: 프로세스에 신호를 보내기 위해 권한 검사를 무시합니다.
• CAP_SYS_NICE: 프로세스의 멋을 높이십시오 (멋짐에 대한 설명은 여기에서 찾을 수 있습니다 )
• CAP_SYS_TIME: 시스템 및 실시간 하드웨어 시계 설정

전체 목록을 보려면을 실행하십시오 man 7 capabilities.

기능은 스레드에 대해 "허용됨", "상속 가능", "유효"및 "주변"및 파일에 대해 "허용됨", "상속 가능"및 "유효"세트로 지정됩니다. 이 세트는 서로 다른 복잡한 동작을 정의하며 자세한 설명은이 기사의 범위를 벗어납니다.

파일에서 기능을 설정할 때 거의 항상 "허용됨"및 "효과적"을 사용합니다 CAP_DAC_OVERRIDE+ep. +ep앞에서 언급 한 세트를 나타내는를 주목하십시오 .

파일 기능 작업

필수 패키지

두 가지 주요 도구가 getcap있으며 setcap이러한 도구 를 각각보고 설정할 수 있습니다.

• 데비안과 우분투에서이 도구들은 libcap2-bin패키지 로 제공되며 다음 과 같이 설치할 수 있습니다 :apt install libcap2-bin
• CentOS 및 Fedora에서는 libcap패키지가 필요합니다.yum install libcap
• 아치 리눅스에서는 libcap다음과 같이 제공됩니다 :pacman -S libcap

읽기 기능

파일에 기능이 설정되어 있는지 확인하려면 다음과 같이 간단히 실행 getcap /full/path/to/binary하면됩니다.

 root@demo:~# getcap /usr/bin/ping
 /usr/bin/ping = cap_net_raw+ep
 root@demo:~# getcap /usr/bin/rcp
 /usr/bin/rcp = cap_net_bind_service+ep

시스템에 어떤 기능이 이미 설정되어 있는지 확인하려면 다음 명령을 사용하여 전체 파일 시스템을 재귀 적으로 검색 할 수 있습니다.

getcap -r /

가상 파일 시스템 (예 /proc:)이 이러한 작업을 지원하지 않기 때문에 위의 명령으로 수천 개의 오류가 발생하므로보다 깨끗한 출력을 위해 다음을 사용하십시오.

getcap -r / 2>/dev/null 

기능 할당 및 제거

파일에서 특정 기능을 설정하려면을 사용하십시오 setcap "capability_string" /path/to/file.

파일에서 모든 기능을 제거하려면을 사용하십시오 setcap -r /path/to/file.

데모를 위해 현재 디렉토리에 빈 파일을 생성하고 기능을 제공 한 후 제거합니다. 다음으로 시작하십시오.

root@demo:~# touch testfile
root@demo:~# getcap testfile

두 번째 명령은 출력을 생성하지 않으므로이 파일에는 기능이 없습니다.

다음으로 파일의 기능을 설정하십시오.

root@demo:~# setcap "CAP_CHOWN+ep" testfile
root@demo:~# getcap testfile
testfile = cap_chown+ep

예를 들어 "CAP_CHOWN + ep"가 사용되었지만 다른 방식으로이 방법을 지정할 수 있습니다.

이제 다음에서 모든 기능을 제거하십시오 testfile.

root@demo:~# setcap -r testfile
root@demo:~# getcap testfile

"CAP_CHOWN + ep"가 제거되었으므로 다시 출력이 없습니다.

결론

기능은 잠재적으로 많이 사용되며 시스템 보안을 강화하는 데 도움이 될 수 있습니다. 실행 파일에서 SUID 비트를 사용하는 경우 필요한 특정 기능으로 교체하십시오.