ทำไม setuid ไม่สามารถใช้งานกับไฟล์ที่เรียกทำงานได้?

ฉันรู้ว่าการเปิดใช้งาน setuid กับสคริปต์มีปัญหาด้านความปลอดภัยและดังนั้นจึงไม่ได้ใช้งานเป็นค่าเริ่มต้น แต่คาดว่าจะใช้งานได้สำหรับไฟล์ปฏิบัติการ ฉันสร้างและปฏิบัติการซึ่งแสดง uid เป็นคำสั่งต่อไปนี้อธิบายไว้ในโพสต์นี้: อนุญาต setuid ในสคริปต์เชลล์

แต่มันกลับ uid เดียวกัน (1000) sudo chmod +s ./setuid-testทั้งก่อนและหลังการทำงาน ฉันคิดว่านี่หมายความว่า setuid ไม่มีผลกระทบใด ๆ ต่อการปฏิบัติการของฉันทำไมและวิธีการแก้ปัญหา?

รหัสแหล่งที่มา:

#include <stdio.h>
#include <unistd.h>
int main(int argc, char** argv) {
    printf("%d", geteuid());
    return 0;
}

สร้างและเรียกใช้ด้วย

$ gcc -o setuid-test setuid-test.c
$ ./setuid-test
1000
$ sudo chown nobody ./setuid-test; sudo chmod +s ./setuid-test
$ ./setuid-test
1000

เมื่อทำงานls -laนี่คือสิ่งที่ฉันได้รับ:

me@me:~$ ls -la setuid-test
-rwsrwsr-x 1 nobody me 8572 Aug 19 16:39 setuid-test

ระบบไฟล์ส่วนใหญ่ที่ออกแบบมาสำหรับ Unix / Linux สามารถติดตั้งด้วยnosuidแอ็ตทริบิวต์ซึ่งจะป้องกัน setuid หรือ setgid ไบนารีที่อยู่บนระบบไฟล์เหล่านั้นจากการแก้ไข uid ที่มีประสิทธิภาพหรือ gid ของกระบวนการ มักใช้เมื่อติดตั้งระบบไฟล์ "ไม่น่าเชื่อถือ" ซึ่งอยู่ภายใต้การควบคุมของผู้ที่ไม่ใช่ผู้ดูแลระบบ

ในกรณีของคุณระบบไฟล์ที่คุณใช้คือประเภท ecryptfs ซึ่งเป็นไปตามaskubuntu: ข้อผิดพลาดเมื่อรันไบนารีด้วย root setuid ภายใต้โฮมไดเร็กตอรี่ที่เข้ารหัสเข้ารหัสบังคับให้ nosuid (และ nodev) โดยอัตโนมัติเริ่มจากเวอร์ชันเมื่อสองสามปีก่อน

นี่คือคำอธิบายสาเหตุของการเปลี่ยนแปลงจากhttps://bugzilla.redhat.com/show_bug.cgi?id=CVE-2012-3409 :

Vincent Danen 2012-07-20 11:25:56 EDT
มีรายงานว่าผู้ช่วยส่วนตัวการเข้ารหัส ecryptfs (/sbin/mount.ecryptfs_private) ซึ่งเป็น setuid-root สามารถอนุญาตให้ผู้ใช้ในท้องถิ่นที่ไม่มีสิทธิ์ได้รับการแชร์การเข้ารหัส ecrypt ที่ผู้ใช้ควบคุม บนระบบโลคัล เนื่องจากผู้ช่วย ecryptfs ไม่เมาท์ระบบไฟล์ด้วยแฟล็ก "nosuid" และ "nodev" จึงเป็นไปได้ที่ผู้ใช้จะเมานต์ระบบไฟล์ที่มีไบนารี setuid-root และ / หรือไฟล์อุปกรณ์ที่อาจนำไปสู่การเพิ่มสิทธิ์ของพวกเขา สิ่งนี้สามารถทำได้ผ่านอุปกรณ์ USB หากผู้ใช้มีการเข้าถึงระบบจริง
...
บังคับให้เพิ่มค่าสถานะการเมานต์ MS_NOSUID และ MS_NODEV ให้เป็นเวอร์ชัน 99

SetUID บิตในการเรียกใช้งานอนุญาตให้เรียกใช้งานได้ที่เจ้าของไฟล์(ไม่ใช่ superuser) เพื่อให้สามารถรัน executable ในฐานะ root ให้ดำเนินการ:

sudo chown 0:0 ./setuid-test