即使在 seteuid 之后，root priv 也无法在 python 中删除。一个错误？

Question

即使在 seteuid 之后，root priv 也不能在 python 中删除。一个错误？

编辑 摘要：我忘了删除 gid。不过，接受的答案可能会对您有所帮助。

你好。我无法在 Linux 上删除 python 3.2 中的 root 权限。事实上，即使在 seteuid(1000) 之后，它也可以读取 root 拥有的 400 模式文件。 euid肯定设置为1000！

我发现在空 os.fork() 调用后，特权访问被正确拒绝。 （不过只是在父进程中，子进程还是可以非法读取的。） 是python的bug，还是linux也是如此？

尝试下面的代码。注释掉底部三行之一，然后以 root 身份运行。

预先感谢。

#!/usr/bin/python3

# Python seteuid pitfall example.
# Run this __as__ the root.

# Here, access to root-owned files /etc/sudoers and /etc/group- are tried.
# Simple access to them *succeeds* even after seteuid(1000) which should fail.

# Three functions, stillRoot(), forkCase() and workAround() are defined.
# The first two seem wrong. In the last one, access fails, as desired.


# ***Comment out*** one of three lines at the bottom before execution.

# If your python is < 3.2, comment out the entire def of forkCase()

import os

def stillRoot():
    """Open succeeds, but it should fail."""
    os.seteuid(1000)
    open('/etc/sudoers').close()

def forkCase():
    """Child can still open it. Wow."""
    # setresuid needs python 3.2
    os.setresuid(1000, 1000, 0)
    pid = os.fork()
    if pid == 0:
        # They're surely 1000, not 0!
        print('uid: ', os.getuid(), 'euid: ', os.geteuid())
        open('/etc/sudoers').close()
        print('open succeeded in child.')
        exit()
    else:
        print('child pid: ', pid)
        open('/etc/group-').close()
        print('parent succeeded to open.')

def workAround():
    """So, a dummy fork after seteuid is necessary?"""
    os.seteuid(1000)
    pid = os.fork()
    if pid == 0:
        exit(0)
    else:
        os.wait()

    open('/etc/group-').close()

## Run one of them.

# stillRoot()
# forkCase()
# workAround()

Answer 1

在 Unix 系统上操作进程凭据是很棘手的。我强烈建议彻底了解真实用户 ID、有效用户 ID 和保存集用户 ID 之间的相互关系。 “放弃特权”很容易搞砸。

至于你的具体观察......我想知道是否有一个你可能忽略的简单原因。您的代码正在执行不一致的测试，并且您忽略了在 /etc/sudoers 和 /etc/group- 文件上指定确切的文件权限。如果 /etc/sudoers 具有权限 mode=440、uid=root、gid=root （这是我系统上的默认权限）并且如果 /etc/group- 的模式=400。

您没有修改进程的 GID，因此如果 /etc/sudoers 是组可读的，那就可以解释为什么它总是可读的。 fork() 不会修改进程凭据。但是，由于您正在检查父级和子级中的不同文件，因此在示例代码中可能会出现这种情况。如果 /etc/group- 没有组读取权限，而 /etc/sudoers 则具有组读取权限，这可以解释明显的问题。

如果您想要做的只是“放弃权限”，请使用以下代码：

os.setgid( NEW_GID )
os.setuid( NEW_UID )

一般来说，如果您的进程需要在进程的生命周期内打开和关闭其 root 权限，那么您只想操作有效用户 ID。过程。如果您只需要使用 root 权限执行一些设置操作，但在这些设置操作完成后不再需要它们，只需使用上面的代码不可撤销地删除它们。

哦，在 Linux 上进行进程凭证操作的一个有用的调试实用程序是打印 /proc/self/status 的输出，该文件的 Uid 和 Gid 行显示真实的、有效的、已保存的设置，以及当前进程持有的文件 ID（按顺序）。 Python API 可用于检索相同的信息，但您可以将此文件的内容视为“真实数据”，并避免 Python 跨平台 API 带来的任何潜在复杂性。