为啥要讲setcap这个玩意呢，因为最近在做国产化系统编译安装产品，遇到普通用户下Nginx不能够小于1024一下端口的问题。
CAPABILITIES(7) 文档有一段:
For the purpose of performing permission checks, traditional UNIX implementations distinguish two categories of processes: privileged processes (whose effective user ID is 0, referred to as superuser or root), and unprivileged processes (whose effective UID is nonzero).
Privileged processes bypass all kernel permission checks, while unprivileged processes are subject to full permission checking based on the process's credentials (usually: effective UID, effective GID, and supplementary group list).
Starting with kernel 2.2, Linux divides the privileges traditionally associated with superuser into distinct units, known as capabilities, which can be independently enabled and disabled. Capabilities are aper-thread attribute.
Capabilities的主要思想在于分割root用户的特权，即将root的特权分割成不同的能力，每种能力代表一定的特权操作。
例如：能力CAP_SYS_MODULE表示用户能够加载(或卸载)内核模块的特权操作，而CAP_SETUID表示用户能够修改进程用户身份的特权操作。在Capbilities中系统将根据进程拥有的能力来进行特权操作的访问控制。
在Capilities中，只有进程和可执行文件才具有能力，每个进程拥有三组能力集，分别称为cap_effective, cap_inheritable, cap_permitted(分别简记为:PE,PI,PP)。
其中cap_permitted表示进程所拥有的最大能力集, cap_effective表示进程当前可用的能力集，可以看做是cap_permitted的一个子集, 而cap_inheitable则表示进程可以传递给其子进程的能力集。
系统根据进程的cap_effective能力集进行访问控制，cap_effective为cap_permitted的子集，进程可以通过取消cap_effective中的某些能力来放弃进程的一些特权。
可执行文件也拥有三组能力集，对应于进程的三组能力集，分别称为cap_effective, cap_allowed 和 cap_forced（分别简记为FE,FI,FP）, 其中cap_allowed表示程序运行时可从原进程的cap_inheritable中集成的能力集，cap_forced表示运行文件时必须拥有才能完成其服务的能力集, 而cap_effective则表示文件开始运行时可以使用的能力。
从前，要使被普通用户执行的某个程序有特殊权限，一般我们会给这个程序设置suid，于是普通用户执行该程序时就会以root的身份来执行。
比如，/usr/bin/passwd这个可执行文件就带有suid，普通用户执行它时会以root身份执行，所以passwd才能读取并修改/etc/shadow文件。
[root@nock ~]# ls -l /usr/bin/passwd
-rwsr-xr-x. 1 root root 30768 11月 24 2015 /usr/bin/passwd
[root@nock ~]# ls -l /etc/shadow
---------- 1 root root 706 12月 20 23:44 /etc/shadow
可以看到，使用 suid 有一个弊端，那就是以 root 身份执行的程序有了所有特权，这会带来安全风险。
Kernel从2.2版本开始，提供了Capabilities功能，它把特权划分成不同单元，可以只授权程序所需的权限，而非所有特权。
Linux内核中Capabilities的实现机制
Linux内核从2.2版本开始，就加进的Capabilities的概念与机制，并随着版本升高逐步得到改进。在linux中，root权限被分割成一下29种能力：
CAP_CHOWN: 修改文件属主的权限
CAP_DAC_OVERRIDE: 忽略文件的DAC访问限制
CAP_DAC_READ_SEARCH: 忽略文件读及目录搜索的DAC访问限制
CAP_FOWNER: 忽略文件属主ID必须和进程用户ID相匹配的限制
CAP_FSETID: 允许设置文件的setuid位
CAP_KILL: 允许对不属于自己的进程发送信号
CAP_SETGID: 允许改变进程的组ID
CAP_SETUID: 允许改变进程的用户ID
CAP_SETPCAP: 允许向其他进程转移能力以及删除其他进程的能力
CAP_LINUX_IMMUTABLE: 允许修改文件的IMMUTABLE和APPEND属性标志
CAP_NET_BIND_SERVICE: 允许绑定到小于1024的端口
CAP_NET_BROADCAST: 允许网络广播和多播访问
CAP_NET_ADMIN: 允许执行网络管理任务
CAP_NET_RAW: 允许使用原始套接字
CAP_IPC_LOCK: 允许锁定共享内存片段
CAP_IPC_OWNER: 忽略IPC所有权检查
CAP_SYS_MODULE: 允许插入和删除内核模块
CAP_SYS_RAWIO: 允许直接访问/devport,/dev/mem,/dev/kmem及原始块设备
CAP_SYS_CHROOT: 允许使用chroot()系统调用
CAP_SYS_PTRACE: 允许跟踪任何进程
CAP_SYS_PACCT: 允许执行进程的BSD式审计
CAP_SYS_ADMIN: 允许执行系统管理任务，如加载或卸载文件系统、设置磁盘配额等
CAP_SYS_BOOT: 允许重新启动系统
CAP_SYS_NICE: 允许提升优先级及设置其他进程的优先级
CAP_SYS_RESOURCE: 忽略资源限制
CAP_SYS_TIME: 允许改变系统时钟
CAP_SYS_TTY_CONFIG: 允许配置TTY设备
CAP_MKNOD: 允许使用mknod()系统调用
CAP_LEASE: 允许修改文件锁的FL_LEASE标志
更多参考: http://man7.org/linux/man-pages/man7/capabilities.7.html
案例分享
1、安装Wireshark的时候，有一步是给dumpcap读网卡的权限，使得普通用户也可以使用 Wireshark进行抓包
# setcap 'CAP_NET_RAW+eip CAP_NET_ADMIN+eip' /usr/sbin/dumpcap
2、普通用户下允许启动1024以下端口
# 设置权限
setcap cap_net_bind_service=+eip /data/app/tengine/sbin/nginx
# 清除附加权限
setcap -r /data/app/tengine/sbin/nginx
# 查看附加权限
getcap /data/app/tengine/sbin/nginx
3、普通用户可执行traceroute命令
setcap cap_net_raw+ep /usr/bin/traceroute
Tips: setcap一般用于二进制可执行文件。setcap 用于脚本文件时无效（比如以 #!/bin/python开头的脚本文件）
阅读: https://wiki.archlinux.org/index.php/Capabilities_(%E7%AE%80%E4%BD%93%E4%B8%AD%E6%96%87)
本文由 空心菜 创作，采用 知识共享署名4.0 国际许可协议进行许可
本站文章除注明转载/出处外，均为本站原创或翻译，转载前请务必署名
最后编辑时间为: Feb 3, 2021 at 10:55 am