POSIX 文件能力：分配根用户的能力

核心提示： 清单 2 中的 exec_with_caps() 函数可以缩减代码的能力，setuid root 程序可以通过它作为指定的 userid 连续执行一个指定的函数，POSIX 文件能力：分配根用户的能力(4)，执行时的能力集由一个字符串指定， 清单 2. 用缩减的能力执行代码#include

清单 2 中的 exec_with_caps() 函数可以缩减代码的能力，setuid root 程序可以通过它作为指定的 userid 连续执行一个指定的函数，执行时的能力集由一个字符串指定。

清单 2. 用缩减的能力执行代码

#include <sys/prctl.h>
#include <sys/capability.h>
#include <sys/types.h>
#include <stdio.h>
int printmycaps(void *d)
{
　　cap_t cap = cap_get_proc();
　　printf("Running with uid %dn", getuid());
　　printf("Running with capabilities: %sn", cap_to_text(cap, NULL));
　　cap_free(cap);
　　return 0;
}
int exec_with_caps(int newuid, char *capstr, int (*f)(void *data), void *data)
{
　　int ret;
　　cap_t newcaps;
　　ret = prctl(PR_SET_KEEPCAPS, 1);
　　if (ret) {
　　　　perror("prctl");
　　　　return -1;
　　}
　　ret = setresuid(newuid, newuid, newuid);
　　if (ret) {
　　　　perror("setresuid");
　　　　return -1;
　　}
　　newcaps = cap_from_text(capstr);
　　ret = cap_set_proc(newcaps);
　　if (ret) {
　　　　perror("cap_set_proc");
　　　　return -1;
　　}
　　cap_free(newcaps);
　　f(data);
}
int main(int argc, char *argv[])
{
　　if (argc < 2) {
　　　　printf("Usage: %s <capability_list>n",
　　　　　　argv[0]);
　　　　return 1;
　　}
　　return exec_with_caps(1000, argv[1], printmycaps, NULL);
}