capablity之setcap getcap
阅读数:128 评论数:0
跳转到新版页面分类
Linux
正文
一、简介
普通用户需要root权限,可以虽然通过setuid实现,但是需要root权限的程序可能只是为了一个单一操作,于是这便有了能力概念的引入。
二、能力Capability
在于分割root用户的特权,每种能力代表一定的特权操作。
进程拥有三组能力集分别为:
cap_effective | 进程当前可用的能力集,它是cap_permitted的子集,系统根据它来进行访问控制。 |
cap_inheritable | 表示进程可传递给其子进程的能力集。 |
cap_permitted | 表示进程所拥有的最大能力集。 |
可执行文件也拥有三组能力集:
cap_effective | 表示文件开始运行时可以使用的能力。 |
cap_allowed | 表示程序运行时可从原进程cap_inheritable中继承的能力集。 |
cap_forced | 表示运行文件时必须拥有才能完成其服务的能力集。 |
CAP_CHOWN:修改文件属主的权限
CAP_DAC_OVERRIDE:忽略文件的DAC访问限制
CAP_DAC_READ_SEARCH:忽略文件读及目录搜索的DAC访问限制
CAP_FOWNER:忽略文件属主ID必须和进程用户ID相匹配的限制
CAP_FSETID:允许设置文件的setuid位
CAP_KILL:允许对不属于自己的进程发送信号
CAP_SETGID:允许改变进程的组ID
CAP_SETUID:允许改变进程的用户ID
CAP_SETPCAP:允许向其他进程转移能力以及删除其他进程的能力
CAP_LINUX_IMMUTABLE:允许修改文件的IMMUTABLE和APPEND属性标志
CAP_NET_BIND_SERVICE:允许绑定到小于1024的端口
CAP_NET_BROADCAST:允许网络广播和多播访问
CAP_NET_ADMIN:允许执行网络管理任务
CAP_NET_RAW:允许使用原始套接字
CAP_IPC_LOCK:允许锁定共享内存片段
CAP_IPC_OWNER:忽略IPC所有权检查
CAP_SYS_MODULE:允许插入和删除内核模块
CAP_SYS_RAWIO:允许直接访问/devport,/dev/mem,/dev/kmem及原始块设备
CAP_SYS_CHROOT:允许使用chroot()系统调用
CAP_SYS_PTRACE:允许跟踪任何进程
CAP_SYS_PACCT:允许执行进程的BSD式审计
CAP_SYS_ADMIN:允许执行系统管理任务,如加载或卸载文件系统、设置磁盘配额等
CAP_SYS_BOOT:允许重新启动系统
CAP_SYS_NICE:允许提升优先级及设置其他进程的优先级
CAP_SYS_RESOURCE:忽略资源限制
CAP_SYS_TIME:允许改变系统时钟
CAP_SYS_TTY_CONFIG:允许配置TTY设备
CAP_MKNOD:允许使用mknod()系统调用
CAP_LEASE:允许修改文件锁的FL_LEASE标志
cap_chown=eip是将chown的能力以cap_effective(e),cap_inheritable(i),cap_permitted(p)三种位图的方式授权给相关的程序文件.
eip是cap_effective(e), cap_inheritable(i), cap_permitted(p)的缩写。
三、使用示例
1024以内的端口:
setcap cap_net_bind_service=+eip /home/tengine/nginx/tengine/sbin/nginx
相关推荐
一、概述
1、为什么Linus不使用GPLv3
在 PC 上,只要你得到了某个程序的源代码,就可以自行编译生成二进制程序,然后替换掉原有的二进制程序,你的程序自由很容易得到保证。然而 iPod、iPh
说明:这种方式只是用于方便阅读代码,因为可以在源代间快速索引跳跃。但是最后可能会有一些warning,可以不必关心,如果是强迫症,可以使用下面这种方式来去掉。
一、概述
在Linux系统中,/usr/bin和/usr/local/bin是两个常见的目录,用于存放可执行文件(二进制文件)。
很多应用都安装在/usr/local下面,先看一下automake工具
一、概述
vmstat命令是最常见的Linux/Unix监控工具,可以监控给定时间间隔服务器的CPU使用率、内存使用、IO情况。相比top命令,可以查看到整个机器的CPU、内存、IO的使用情况,而
一、概述
sar,System Activity Reporter。是目前 Linux 上最为全面的系统性能分析工具之一,可以从多方面对系统的活动进行报告,包括:文件的读写情况、系统调用的使用情况、磁
一、简介
简单来说awk就是把文件逐行的读入,以空格为默认分隔符将每行切片,切开的部分再进行各种分析处理。
二、使用方法
1、基本语法
awk '条件类型1 {动作1} 条件类型2{动作2} ...
一、概述
列出目标目录中所有的子目录和文件。
二、 语法
ls [选项] [目录名]
-a, –all 列出目录下的所有文件,包括以 . 开头的隐含文件
-A 同-a,但不列出“.”(表示当前目录)
一、概述
cd全称是change directory,用于切换当前工作目录。
注意的是,cd命令是一个内建命令,它是由 shell 提供的。因此,不同的 shell 可能会有一些差异,但基本的用法和功
一、概述
全称为print working directory,查看”当前工作目录“的完整路径,一般情况下不带任何参数
二、语法
pwd [选项]
-L
即logical,逻辑路径
-P
即
一、概述
通过 mkdir 命令可以实现在指定位置创建以 DirName(指定的文件名)命名的文件夹或目录。要创建文件夹或目录的用户必须对所创建的文件夹的父文件夹具有写权限。并且,所创建的文件夹(目录