/usr/bin/passwd 和 CAP_CHOWN 功能

Question

我正在试验 Linux 功能，我注意到，要使 passwd 程序在没有 Set-UID root 的情况下工作，它需要具有 CAP_CHOWN 功能（除了一些其他的）。从逻辑上讲，为什么需要 CAP_CHOWN 呢？

顺便说一句，如果我删除该功能，passwd 会给我一个“令牌操作错误”。

编辑：我使用的是没有 SELinux 的 Ubuntu 11.04。我正在尝试让 passwd 在不成为 Set-UID root 的情况下工作。

Answer 1

passwd 本身不需要 cap_chown。只需要更改与 userID 关联的 /etc/shadow 文件。
/etc/shadow 文件已设置为任何人都无法读取。

/etc/shadow 只能由 root 访问。因此，当 /etc/passwd 完成其身份验证模块并准备写入新的（编码的）密码时，它将创建一个令牌。它由 Linux-PAM 服务访问，该服务会将其 chown 到 root 并将其写入 /etc/shadow。

编辑：

passwd 使用文件 /etc/.pwd.lock 、 /etc/shadow 、 /etc/nshadow 。
由于passwd从/etc目录中读取和写入，因此需要w权限。请注意，/etc/shadow 永远不会由 passwd 写入。 passwd 实际上写入 /etc/nshadow 并将 /etc/nshadow 重命名为 /etc/shadow。

open('/etc/nshadow',O_WRONLY|O_CREAT)=fd1
open('/etc/shadow', O_RDONLY)=fd2
fchown(fd1, uid=root, gid=shadow)
chmod /etc/shadow to : rw by owner and r by group
read(fd2)
write(fd1)
rename("/etc/nshadow", "/etc/shadow")

此外，我使用这个C程序确认了/etc/nshadow的存在。供参考，

#include<stdio.h>
#include<unistd.h>
int main()
{
while(1)
if (access("/etc/nshadow",F_OK)!=-1){
    printf("Exists\n");
    break;
    }
return 0;
}

Answer 2

setuid 就是最初所需要的。

SELinux（安全增强）的添加要求程序上下文是正确以及文件权限检查。

如果系统的 SE 功能被禁用，passwd 将正常工作，无需任何 CAP_...。我在某处读到可以通过向 /selinux/disable 写入“1”来禁用 SE。大概写“0”会重新启用它。

请参阅NSA 的描述或Fedora 的。