ฉันจะพยายามอธิบายทีละขั้นตอนพร้อมกับตัวอย่าง
พื้นหลังสั้น ๆ
แต่ละขั้นตอนมีของตัวเอง 'ข้อมูลประจำตัวของกระบวนการ' ซึ่งมีคุณลักษณะเช่นPIDนี้PPID, PGID, session IDและยังเป็นจริงและมีประสิทธิภาพของผู้ใช้และรหัสกลุ่ม:
RUID, EUID, ,RGIDEGID
เราจะเน้นที่สิ่งเหล่านั้น
ส่วนที่ 1: ทำความเข้าใจ UID และ GID
ตอนนี้ฉันจะเข้าสู่เชลล์ด้วยข้อมูลประจำตัวของฉันและเรียกใช้:
$ grep $LOGNAME /etc/passwd
rotem:x:1000:1000:rotem,,,:/home/rotem:/bin/bash
คุณสามารถดูชื่อบันทึกของฉัน (rotem), UIDและGIDซึ่งมีทั้ง 1,000 รายการและรายละเอียดอื่น ๆ เช่นเชลล์ที่ฉันลงชื่อเข้าใช้
ส่วนที่ 2: ทำความเข้าใจ RUID และ RGID
ทุกขั้นตอนมีเจ้าของและเป็นกลุ่ม
ในเชลล์ของเราทุกกระบวนการที่เราเรียกใช้ตอนนี้จะสืบทอดสิทธิ์ของบัญชีผู้ใช้ของฉันและจะทำงานด้วย UID และ GID เดียวกัน
ให้รันคำสั่งง่ายๆเพื่อตรวจสอบ:
$ sleep 10 & ps aux | grep 'sleep'
และตรวจสอบกระบวนการ UID และ GID:
$ stat -c "%u %g" /proc/$pid/
1000 1000
เหล่านี้เป็นจริง ID ผู้ใช้ ( RUID) จริงและกลุ่ม ID ( RGID) ของกระบวนการ
(*) ตรวจสอบตัวเลือกอื่น ๆ เพื่อดู UID และ GIDและวิธีการที่จะได้รับในหนึ่งซับใน
สำหรับตอนนี้ยอมรับความจริงที่ว่า แอตทริบิวต์EUIDและEGID"ซ้ำซ้อน" และเท่ากับRUIDและRGIDอยู่เบื้องหลัง
ส่วนที่ 3: ทำความเข้าใจ EUID และ EGID
ลองใช้pingคำสั่งเป็นตัวอย่าง
ค้นหาตำแหน่งไบนารีด้วยwhichคำสั่งจากนั้นเรียกใช้ls -la:
-rwsr-xr-x 1 root root 64424 Mar 10 2017 ping
rootคุณจะเห็นว่าเจ้าของและกลุ่มของไฟล์ที่มี เนื่องจากpingคำสั่งจำเป็นต้องเปิดซ็อกเก็ตและเคอร์เนล Linux ต้องการrootสิทธิ์สำหรับสิ่งนั้น
แต่pingถ้าไม่มีrootสิทธิ์จะใช้ได้ยังไง?
สังเกตตัวอักษร"s"แทน "x" ในส่วนของเจ้าของสิทธิ์ของไฟล์
นี้เป็นบิตอนุญาตเป็นพิเศษสำหรับไฟล์ไบนารีเฉพาะ (เช่นpingและsudo) ซึ่งเป็นที่รู้จักกันsetuid
นี่คือที่มาEUIDและEGIDเข้ามามีบทบาท
อะไรจะเกิดขึ้นคือเมื่อsetuidไบนารีเช่นpingรัน, กระบวนการเปลี่ยนแปลงของมันมีผลบังคับใช้ User ID ( EUID) จากค่าเริ่มต้นRUIDให้กับเจ้าของของไฟล์นี้พิเศษไบนารีปฏิบัติการซึ่งในกรณีนี้คือ root-
ทั้งหมดนี้ทำได้โดยข้อเท็จจริงง่ายๆที่ว่าไฟล์นี้มีsetuidบิต
เคอร์เนลตัดสินใจว่ากระบวนการนี้มีสิทธิพิเศษหรือไม่โดยดูEUIDจากกระบวนการ เนื่องจากตอนนี้EUIDชี้ไปrootที่การดำเนินการจะไม่ถูกปฏิเสธโดยเคอร์เนล
แจ้งให้ทราบล่วงหน้า : บนลินุกซ์ใหม่ล่าสุดออกการส่งออกของpingคำสั่งจะมีลักษณะที่แตกต่างกันเพราะความจริงที่ว่าพวกเขานำความสามารถของลินุกซ์วิธีนี้แทนการsetuidวิธีการ - สำหรับผู้ที่ไม่คุ้นเคย - อ่านที่นี่
ส่วนที่ 4: SUID และ SGID ล่ะ?
ID ผู้ใช้ที่บันทึกไว้ ( SUID) ถูกใช้เมื่อกระบวนการที่มีสิทธิพิเศษกำลังทำงานอยู่ ( rootเช่น) และจำเป็นต้องทำงานบางอย่างที่ไม่มีสิทธิพิเศษ
ในกรณีนั้น UID ( EUID) ที่มีประสิทธิภาพจากก่อนหน้านี้จะถูกบันทึกไว้ภายในSUIDแล้วเปลี่ยนเป็นงานที่ไม่มีสิทธิ เมื่องานที่ไม่มีสิทธิพิเศษเสร็จสิ้นEUIDจะถูกนำออกจากมูลค่าSUIDและเปลี่ยนกลับไปเป็นบัญชีที่มีสิทธิ์