开发学院操作系统 Linux/Unix POSIX 文件能力：分配根用户的能力阅读

POSIX 文件能力：分配根用户的能力

　2008-11-12 08:30:08　来源：WEB开发网　闂傚倷绶氬ḿ褍螞閹绢喖绠柨鐕傛嫹

闂傚倷绀侀幉锟犲垂閻㈠灚宕查柟鎵閸庡秵銇勯幒鎴濃偓鐢稿磻閹炬枼妲堟繛鍡楃С濞岊亞绱撻崒姘扁枌闁瑰嚖鎷�

婵犵數濮幏鍐川椤撴繄鎹曢梻渚€娼уú銈吤洪妸鈺佺劦妞ゆ帊鑳堕埊鏇㈡煏閸モ晛浠х紒杈╁仱閺佹捇鏁撻敓锟�闂傚倷绶氬ḿ褍螞閹绢喖绠柨鐕傛嫹　　闂傚倷鑳舵灙缂佺粯顨呴埢宥夊即閵忕姵鐎梺缁樺姈椤愮厧鈽夊Ο閿嬬€婚梺褰掑亰閸撴稑鈻斿鑸碘拺闁告稑饪村▓鏃€绻涚仦鍌氬闁崇粯鎹囬獮瀣攽閹邦剚顔傛俊鐐€栧濠氬储瑜忛幉鎾晸閿燂拷

核心提示： 清单 2 中的 exec_with_caps() 函数可以缩减代码的能力，setuid root 程序可以通过它作为指定的 userid 连续执行一个指定的函数，POSIX 文件能力：分配根用户的能力(4)，执行时的能力集由一个字符串指定，清单 2. 用缩减的能力执行代码#include

清单 2 中的 exec_with_caps() 函数可以缩减代码的能力，setuid root 程序可以通过它作为指定的 userid 连续执行一个指定的函数，执行时的能力集由一个字符串指定。

清单 2. 用缩减的能力执行代码

#include <sys/prctl.h> #include <sys/capability.h> #include <sys/types.h> #include <stdio.h> int printmycaps(void *d) { 　　cap_t cap = cap_get_proc(); 　　printf("Running with uid %dn", getuid()); 　　printf("Running with capabilities: %sn", cap_to_text(cap, NULL)); 　　cap_free(cap); 　　return 0; } int exec_with_caps(int newuid, char *capstr, int (*f)(void *data), void *data) { 　　int ret; 　　cap_t newcaps; 　　ret = prctl(PR_SET_KEEPCAPS, 1); 　　if (ret) { 　　　　perror("prctl"); 　　　　return -1; 　　} 　　ret = setresuid(newuid, newuid, newuid); 　　if (ret) { 　　　　perror("setresuid"); 　　　　return -1; 　　} 　　newcaps = cap_from_text(capstr); 　　ret = cap_set_proc(newcaps); 　　if (ret) { 　　　　perror("cap_set_proc"); 　　　　return -1; 　　} 　　cap_free(newcaps); 　　f(data); } int main(int argc, char *argv[]) { 　　if (argc < 2) { 　　　　printf("Usage: %s <capability_list>n", 　　　　　　argv[0]); 　　　　return 1; 　　} 　　return exec_with_caps(1000, argv[1], printmycaps, NULL); }