如何使用$ORIGIN和suid应用程序？

Question

我正在使用启用了 setcap CAP_NET_RAW 的 python。我的 python 脚本导入一个共享库，该库的 RPATH 中有 $ORIGIN。由于我的 python 现在是一个 suid 应用程序，因此未评估 $ORIGIN 并且库未正确加载（这是由于 安全性glibc 中发现泄漏）。 有没有办法告诉链接器我的库路径是安全的并无论如何加载库？

还有几点说明：

1. 我只在开发阶段需要这个功能。我不是在寻找生产解决方案。
2. 当以 root 身份工作时，一切正常。
3. 我不想以 root 身份工作。

谢谢， 戴夫

Answer 1

您可以尝试其中之一。考虑 是解析 $ORIGIN rpath 引用后的绝对路径名。

1. 告诉 ldconfig 在哪里找到您的库后重新运行 ldconfig

   $ echo "" > /etc/ld.so.conf.d/my-new-library.conf
   $ ldconfig -v
   

2. 如果不能以 root 身份运行，请在每次执行进程时使用正确的目录导出 LD_LIBRARY_PATH

   $ echo "export LD_LIBRARY_PATH=" >>> ～/.bashrc
   $ export LD_LIBRARY_PATH=;
   $ # 然后运行你的东西...
   

Answer 2

你尝试过须藤吗？

在开发过程中使用固定路径而不是 $ORIGIN，因为它们将在 setuid 程序上工作。不要更改您的主要构建过程，只需使用 patchelf 将 rpath 设置为您需要的即可。您可以制作一个 shell 脚本，执行以下操作：

ln=`readelf -d |grep RPATH`
IFS=:
set -- $ln
newrpath=`echo $2 |sed 's/\$ORIGIN/\/devel\/myprog\/lib/'`
patchelf --set-rpath newrpath myprogram

然后您的二进制文件将不再搜索 $ORIGIN/../lib 而是 /devel/myprog/lib/../lib