https://www.opennet.ru/openforum/vsluhforumID3/45438.html В утилите pcred из комплекта Solaris 10 появилась возможность на лету менять <br>идентификатор владельца уже запущенного процесса:<br><br> # ps -ef &#124; grep sleep<br> vasya 4088 4081 0 09:50:53 pts/11 0:00 sleep 10000000<br><br> # pcred -u 123 4088<br><br> # ps -ef &#124; grep sleep<br> kolya 4088 4081 0 09:50:53 pts/11 0:00 sleep 10000000<br><br>URL: http://www.unixpin.com/wordpress/2008/11/21/proc-uid/<br>Обсуждается: http://www.opennet.ru/tips/info/1843.shtml<br> https://www.opennet.ru/openforum/vsluhforumID3/45438.html#14 Thu, 27 Nov 2008 13:02:15 GMT вообще писал про это<br>CAP_SETPCAP<br> If file capabilities are not supported: grant or remove any capability in the caller's<br> permitted capability set to or from any other process. (This property of CAP_SETPCAP is<br> not available when the kernel is configured to support file capabilities, since CAP_SET&#8208;<br> PCAP has entirely different semantics for such kernels.)<br><br> If file capabilities are supported: add any capability from the calling thread's bound&#8208;<br> ing set to its inheritable set; drop capabilities from the bounding set (via prctl(2)<br> PR_CAPBSET_DROP); make changes to the securebits flags.<br><br>Возможно, не совсем реализована. И разница в том, что процесс может дать другому процессу cap_setuid. Только вряд ли сможет контроллировать, на какой UID тот сделает set.<br> https://www.opennet.ru/openforum/vsluhforumID3/45438.html#13 Mon, 24 Nov 2008 11:46:19 GMT &gt;Разница с солярисной фичей в том, что линуксовый процесс может менять setuid'ом только свой uid, а в солярисе один процесс может поменять uid другого.<br><br>да. я именно это и имел в виду.<br>и честно говоря не могу представить себе зачем бы мне это понадобилось.<br>особенно не понятно, что будет с уже открытыми файловыми дескрипторами (и не только) в ходе такого изменения, но попробую.<br> https://www.opennet.ru/openforum/vsluhforumID3/45438.html#12 Mon, 24 Nov 2008 10:24:44 GMT Разница с солярисной фичей в том, что линуксовый процесс может менять setuid'ом только свой uid, а в солярисе один процесс может поменять uid другого.<br><br>В POSIX нет ничего, что требует прав администратора. И в этом есть определённый смысл. Для таких вещей можно было бы придумать отдельную спецификацию, но они всё же сильно зависимы от ОС...<br> https://www.opennet.ru/openforum/vsluhforumID3/45438.html#11 Mon, 24 Nov 2008 08:29:48 GMT ну это еще программа должна быть правильная.<br>далеко не все программы правильные...<br> https://www.opennet.ru/openforum/vsluhforumID3/45438.html#10 Sun, 23 Nov 2008 20:49:56 GMT $ man capabilities (или http://linux.die.net/man/7/capabilities )<br>....<br>CAP_SETUID<br> Allow arbitrary manipulations of process UIDs (setuid(2), setreuid(2), setresuid(2), setfsuid(2)); allow forged UID when passing socket credentials via Unix domain sockets. <br>.....<br>по русски здесь же - http://www.opennet.ru/man.shtml?topic=capabilities&category=7&russian=0<br>...<br>CAP_SETUID<br> Разрешить произвольные манипуляции UID процессов (setuid(2), etc.); разрешить ложные UID при прохождении параметров сокетов через доменные сокеты Unix.<br> <br>подробнее здесь - http://en.wikipedia.org/wiki/Capability-based_security<br>p.s.:<br>к сожалению они так и не стали стандартом POSIX (но в линух реализованы). отсюда имеем эту статью, т.е. "кто в лес, кто по дрова"...<br> https://www.opennet.ru/openforum/vsluhforumID3/45438.html#9 Sun, 23 Nov 2008 14:04:26 GMT &gt;Типа, все на благо хацкера? =) <br><br>Угу. Осталось только в motd прописать рутовый пароль ;)<br><br>Теоретически, конечно, может быть нужно для кривых прог, которые не умеют дропать привелегии и содержат в себе проверку на запуск из-под рута - но я бы побоялся использовать такое г... изначально.<br> https://www.opennet.ru/openforum/vsluhforumID3/45438.html#8 Sun, 23 Nov 2008 13:07:58 GMT расскажите, интересно же !<br> https://www.opennet.ru/openforum/vsluhforumID3/45438.html#7 Sun, 23 Nov 2008 08:23:49 GMT А подробнее, как это сделать ? <br> https://www.opennet.ru/openforum/vsluhforumID3/45438.html#6 Sat, 22 Nov 2008 19:54:04 GMT Типа, все на благо хацкера? =)<br>