Jak korzystać z setuid() z katalogu głównego, aby stać się użytkownikiem, z możliwością późniejszego odzyskania uprawnień administratora?

Question

Próbuję zrobić coś bezpiecznego i mieć program, który musi działać jako root, aby zrzucić jego uprawnienia, gdy ich nie potrzebuje. Działa to dobrze, jeśli mój kod binarny jest ustawiony na bit SUID i sprawi, że będzie on należał do katalogu głównego, ponieważ teraz mam UID = pewien użytkownik, a EUID = root, więc mogę użyć odpowiednio seteuid(0) i seteuid(getuid()), aby podnieść i zrzucić uprawnienia administratora.

Ale jeśli użyję sudo zamiast ustawiania SUID, to UID == EUID == 0, a więc wywołanie seteuid(getuid()) nie będzie miało żadnego efektu. I nie mogę po prostu zmienić UID na jakąś wartość od jakiegoś losowego użytkownika, ponieważ strona man setuid() wyraźnie stwierdza, że ​​jeśli zostanie wywołana z programu działającego jako root, stracimy przywileje na dobre, bez nadziei na odzyskanie ich.

Co zrobić, aby mój program stracił czasowo swoje uprawnienia podczas uruchamiania z użyciem sudo?

Answer 1

seteuid(some random uid) do upuszczania przywilejów, seteuid(0), aby je odzyskać, działając pod numerem root.

Answer 2

Nie jest to bezpośrednia odpowiedź, ale chciałbym wskazać na pomysł privilege separation. Oto wspaniały presentation autorstwa założyciela OpenBSD Theo de Raadta.

Answer 3

Wydaje się seteuid (x) powinien pracować do spadku i ponownie podnieść privs ...

$ cat > t12.c 
#include <stdio.h> 
#include <unistd.h> 

void p(void) { printf("euid=%4d uid=%4d\n", geteuid(), getuid()); } 

int main(void) { p(); seteuid(100); p(); seteuid(0); p(); return 0; } 
$ cc -Wall t12.c 
$ sudo chown root a.out && sudo chmod 4555 a.out 
$ sudo ./a.out 
euid= 0 uid= 0 
euid= 100 uid= 0 
euid= 0 uid= 0 
$ ./a.out 
euid= 0 uid= 501 
euid= 100 uid= 501 
euid= 0 uid= 501 
$ 

Answer 4

fork(), zanim spadnie przywileje. Zaczekaj w zadaniu nadrzędnym, dopóki nie zostanie wykonane dziecko o ograniczonych uprawnieniach, a następnie powróć do rodzica z rootem.

seteuid nie jest przenośny dla wszystkich abonentów i ma również inne wady.