Magic links¶

There is a special class of symbolic-link-like objects known as "magic links", which can be found in certain pseudofilesystems such as proc(5) (examples include /proc/[pid]/exe and /proc/[pid]/fd/*). Unlike normal symbolic links, magic links are not resolved through pathname-expansion, but instead act as direct references to the kernel's own representation of a file handle. As such, these magic links allow users to access files which cannot be referenced with normal paths (such as unlinked files still referenced by a running program ).

Because they can bypass ordinary mount_namespaces(7)-based restrictions, magic links have been used as attack vectors in various exploits.

Владельцы, права и отметки времени символьных ссылок¶

Владельца и группу существующей символьной ссылки можно изменить с помощью lchown(2). Владельцы символьной ссылки учитываются только, когда символьная ссылка удаляется или переименовывается в каталоге, на котором установлен бит закрепления (sticky bit) (смотрите stat(2)).

Время последнего обращения и изменения символьной ссылки можно изменять с помощью utimensat(2) или lutimes(3).

On Linux, the permissions of an ordinary symbolic link are not used in any operations; the permissions are always 0777 (read, write, and execute for all user categories), and can't be changed.

However, magic links do not follow this rule. They can have a non-0777 mode, though this mode is not currently used in any permission checks.

Получение файлового дескриптора, который указывает на символьную ссылку¶

Для работы с самой символьной ссылкой (а не файлом, на который она указывает) нужно указать комбинацию флагов O_PATH и O_NOFOLLOW вызов open(2) вернёт файловый дескриптор, который можно передавать в аргументе dirfd в такие системные вызовы как fstatat(2), fchownat(2), fchmodat(2), linkat(2) и readlinkat(2).

По умолчанию (т. е., если не указан флаг AT_SYMLINK_FOLLOW), если name_to_handle_at(2) вызывается для символьной ссылки, то он возвращает описатель символьной ссылки (а не файла, на который она указывает). Затем с его помощью можно получить файловый дескриптор символьной ссылки (а не файла, на который она указывает), указав флаг O_PATH в последующем вызове open_by_handle_at(2). Данный файловый дескриптор можно использовать в вышеупомянутых системных вызовах для работы с самой символьной ссылкой.

Трактовка символьных ссылок в системных вызовах и командах¶

При работе с символьными ссылками можно воздействовать на сами символьные ссылки или на объекты, на которые они указывают. В последнем случае про приложение или системный вызов говорят, что он переходит (follow) по ссылке. Символьные ссылки могут указывать на другие символьные ссылки; в этом случае ссылки разыменовываются до нахождения объекта, который не является символьной ссылкой, символьной ссылки, которая указывает на несуществующий файл, или до обнаружения зацикливания (обнаружение зацикливания выполняется заданием максимального количества переходов по ссылкам, при превышении которого возвращается ошибка).

Есть три области, которые требуют обсуждения:

•

Использование символьных ссылок в виде имён файлов в аргументах системных вызовов.

•

Символьные ссылки, указываемые в аргументах командной строки утилит, которые не выполняют обход дерева файлов.

•

Символьные ссылки, встреченные утилитами при обходе дерева файлов (задаваемые в командной строке или встреченные как часть файла при обходе иерархии).

Before describing the treatment of symbolic links by system calls and commands, we require some terminology. Given a pathname of the form a/b/c, the part preceding the final slash (i.e., a/b) is called the dirname component, and the part following the final slash (i.e., c) is called the basename component.

Treatment of symbolic links in system calls¶

Рассмотрим использование символьных ссылок в виде имён файлов в аргументах системных вызовов.

The treatment of symbolic links within a pathname passed to a system call is as follows:

(1)

Within the dirname component of a pathname, symbolic links are always followed in nearly every system call. (This is also true for commands.) The one exception is openat2(2), which provides flags that can be used to explicitly prevent following of symbolic links in the dirname component.

(2)

Except as noted below, all system calls follow symbolic links in the basename component of a pathname. For example, if there were a symbolic link slink which pointed to a file named afile, the system call open("slink" ...) would return a file descriptor referring to the file afile.

Various system calls do not follow links in the basename component of a pathname, and operate on the symbolic link itself. They are: lchown(2), lgetxattr(2), llistxattr(2), lremovexattr(2), lsetxattr(2), lstat(2), readlink(2), rename(2), rmdir(2), and unlink(2).

Certain other system calls optionally follow symbolic links in the basename component of a pathname. They are: faccessat(2), fchownat(2), fstatat(2), linkat(2), name_to_handle_at(2), open(2), openat(2), open_by_handle_at(2), and utimensat(2); see their manual pages for details. Because remove(3) is an alias for unlink(2), that library function also does not follow symbolic links. When rmdir(2) is applied to a symbolic link, it fails with the error ENOTDIR.

Вызов link(2) заслуживает отдельного описания. В POSIX.1-2001 говорится, что link(2) должен разыменовывать oldpath, если это символьная ссылка. Однако в Linux этого не делается (по умолчанию Solaris делается тоже самое, но в POSIX.1-2001 определяется как такое поведение можно получить с помощью специальных параметров компилятора). В POSIX.1-2008 изменено описание, которое позволяет реализовывать любое из этих вариантов поведения.

Команды, не выполняющие обход дерева файлов¶

Рассмотрим случай с символьными ссылками, указываемыми в аргументах командной строки утилит, которые не выполняют обход дерева файлов.

За исключением, описанным далее, команды переходят по ссылкам, указанным в аргументах командной строки. Например, если slink — символьная ссылка, которая указывает на файл с именем afile, то команда cat slink выведет содержимое файла afile.

Важно понимать, что это правило учитывается командами, которые не обязательно выполняют обход дерева файлов; например, команда chown file следует этому правилу, а команда chown -R file, выполняющая обход дерева, нет (последняя описана далее).

If it is explicitly intended that the command operate on the symbolic link instead of following the symbolic link—for example, it is desired that chown slink change the ownership of the file that slink is, whether it is a symbolic link or not—then the -h option should be used. In the above example, chown root slink would change the ownership of the file referred to by slink, while chown -h root slink would change the ownership of slink itself.

Есть несколько исключений из этого правила:

•

Команды mv(1) и rm(1) не переходят по символьным ссылкам, указанным в аргументах, а пытаются переименовать и удалить их (заметим, если символьная ссылка указывает на файл через относительный путь, то перемещение файла в другой каталог с большой вероятностью вызовет проблемы, так как путь может оказаться неправильным).

•

The ls(1) command is also an exception to this rule. For compatibility with historic systems (when ls(1) is not doing a tree walk—that is, -R option is not specified), the ls(1) command follows symbolic links named as arguments if the -H or -L option is specified, or if the -F, -d, or -l options are not specified. (The ls(1) command is the only command where the -H and -L options affect its behavior even though it is not doing a walk of a file tree.)

•

Команда file(1) также является исключением из этого правила. По умолчанию file(1) не переходит по символьной ссылке, указанной в аргументе. Команда file(1) переходит по символьной ссылке, указанной в аргументе, если указан параметр -L.

Команды, выполняющие обход дерева файлов¶

Следующие команды могут или всегда обходят дерево файлов: chgrp(1), chmod(1), chown(1), cp(1), du(1), find(1), ls(1), pax(1), rm(1) и tar(1).

Важно понимать, что следующие правила применяются как к символьным ссылкам, обнаруженным при обходе дерева файлов, так и к символьным ссылкам, указанным в аргументах командной строки.

Первое правило применяется к символьным ссылкам, которые указывают на файлы, а не на каталоги. Операции, которые применимы к символьным ссылкам, выполняются с самими ссылками, но другие ссылки игнорируется.

Команда rm -r slink каталог удалит slink, а также все символьные ссылки, обнаруженные при обходе каталога, так как символьные ссылки могут быть удалены. Команда rm(1) никогда не удаляет файл, на который указывает slink.

Второе правило применяется к символьным ссылкам, которые указывают на каталоги. По умолчанию такие символьные ссылки никогда не разыменовываются. Часто об этом говорят как о «физическом» обходе, в противовес «логическому» обходу (когда выполняется переход по символьным ссылкам, указывающем на каталог).

При обходе дерева файлов командами соблюдаются (должны) определённые соглашения, если это возможно:

•

Команду можно заставить перейти по любой символьной ссылке, указанной в командной строке, независимо от типа файла, на который она ссылаются, указав параметр -H (от «half-logical»). Этот параметр заставляет пространство имён командной строки выглядеть как логическое пространство имён (заметим, что команды, которые не всегда делают обход дерева файлов, будут игнорировать флаг -H, если также не указан флаг -R).

Например, команда chown -HR user slink выполнит обход файловой иерархии с корнем как у файла, указанном slink. Заметим, что здесь -H делает не тоже самое, что и флаг -h, описанный ранее. При флаге -H символьные ссылки, указанные в командной строке, будут разыменовываться и при обходе файлового дерева и как если бы пользователь указал имя файла, на которое указывает символьная ссылка.

•

Команду можно заставить перейти по любой символьной ссылке, указанной в командной строке, а также по всем символьным ссылкам, встреченным при обходе, независимо от типа файла, на который она ссылается, указав параметр -H (от «half-logical»). Этот параметр заставляет всё пространство имён выглядеть как логическое пространство имён (заметим, что команды, которые не всегда делают обход дерева файлов, будут игнорировать флаг -L, если также не указан флаг -R).

Например, команда chown -LR user slink изменит владельца файла, на который указывает slink. Если slink указывает на каталог, то chown обойдёт дерево файлов с корнем в этом каталоге. Также, если символьные ссылки встречаются в любом файловом дереве, которое обходит chown, то с ними будет сделано тоже что и с slink.

•

Команду можно заставить следовать поведению по умолчанию, указав флаг -P (от «physical»). Этот флаг предназначен для работы со всем пространством имён как с физическим пространством имён.

Команды, которые по умолчанию не выполняют обход дерева файлов, игнорируют флаги -H, -L и -P, если не указан флаг -R. Также вы можете указать параметры -H, -L и -P более одного раза; последний указанный параметр определяет поведение команды. Это позволяет создавать псевдонимы команд с некоторым поведением, а затем переопределять это поведение в командной строке.

У команд ls(1) и rm(1) есть исключения из этих правил:

•

Команда rm(1) работает с символьными ссылками, а не с файлами, на который они ссылаются, и поэтому никогда не переходит по символьной ссылке. Команда rm(1) не поддерживает параметры -H, -L и -P.

•

Для совместимости со старыми системами работа команды ls(1) чуть отличается. Если не указан параметр -F, -d или -l, то ls(1) переходит по символьной ссылке, указанной в командной строке. Если указан флаг -L, то ls(1) переходит по всем символьным ссылкам независимо от их типа и где они встретились — в командной строке или при обходе дерева.