Aktuelle Details¶

Nachdem Sie gewarnt wurden, hier einige aktuelle Kernel-Datails. Die Strukturen sind wie folgt definiert:

#define _LINUX_CAPABILITY_VERSION_1  0x19980330
#define _LINUX_CAPABILITY_U32S_1     1


        /* V2 hinzugefügt in Linux 2.6.25; veraltet */
#define _LINUX_CAPABILITY_VERSION_2  0x20071026
#define _LINUX_CAPABILITY_U32S_2     2


        /* V3 in Linux 2.6.26 hinzugefügt */
#define _LINUX_CAPABILITY_VERSION_3  0x20080522
#define _LINUX_CAPABILITY_U32S_3     2
typedef struct __user_cap_header_struct {


   __u32 version;


   int pid;
} *cap_user_header_t;
typedef struct __user_cap_data_struct {


   __u32 effective;


   __u32 permitted;


   __u32 inheritable;
} *cap_user_data_t;

Die Felder effective, permitted und inheritable sind Bitmasken der in capabilities(7) definierten Capabilities. Beachten Sie, dass CAP_*-Werte Bitindizes sind und bitweise verschoben werden müssen, bevor per ODER auf die Bitfelder zugegriffen wird. Um die Strukturen zu definieren, die an den Systemaufruf übergeben werden sollen, müssen Sie die Namen struct __user_cap_header_struct und struct __user_cap_data_struct verwenden, da die Typedefs nur Zeiger sind.

Kernel vor 2.6.25 bevorzugen 32-bit-Capabilities mit Version _LINUX_CAPABILITY_VERSION_1. In Linux 2.6.25 wurden 64-bit-Capability-Sets hinzugefügt, mit Version _LINUX_CAPABILITY_VERSION_2. Allerdings gab es einen API-Glitch, und Linux 2.6.26 fügte _LINUX_CAPABILITY_VERSION_3 hinzu, um das Problem zu beheben.

Beachten Sie, dass 64-Bit-Capabilities dataz[0] und dataz[1] verwenden, während 32-Bit-Capabilities nur dataz[0] verwenden.

In Kerneln, die Datei-Capabilities unterstützen (VFS-Capabilities-Unterstützung), verhalten sich diese Systemaufrufe etwas anders. Diese Unterstützung wurde in Linux 2.6.24 hinzugefügt und wurde später in Linux 2.6.33 korrigiert (nicht-optional).

Für capget()-Aufrufe können die Capabilities eines Prozesses über die Angabe der Prozesskennung mit dem Feldwert hdrp->pid ermittelt werden.

Für Details der Daten siehe capabilities(7).

Mit VFS-Capabilities-Unterstützung¶

VFS-Capabilities setzen ein erweitertes Dateiattribut ein (siehe xattr(7)), um das Anhängen von Capabilities an Dateien zu erlauben. Dieses Privilegienmodell ersetzt die Kernel-Unterstützung dafür, dass ein Prozess asynchron die Capabilities eines anderen setzt. Das heißt, das auf Kerneln mit VFS-Capability-Unterstützung beim Aufruf von capset() der einzige für hdrp->pid erlaubte Wert 0, oder äquivalent der von gettid(2) zurückgelieferte Wert, ist.

Ohne VFS-Capabilities-Unterstützung¶

Auf älteren Kerneln, die keine Unterstützung für VFS-Capabilities bieten, kann capset(), falls der Aufrufende über die Capability CAP_SETPCAP verfügt, nicht nur zum Ändern der Capabilities des Aufrufenden sondern auch der Capabilities anderer Threads verwandt werden. Dieser Aufruf greift auf die Capabilities des durch das pid-Feld von hdrp beschriebenen Threads zu, wenn das Feld von Null verschieden ist; wenn pid gleich 0 ist, wird auf die Capabilities des aufrufenden Threads zugegriffen. Falls sich pid auf einen single-threaded Prozess bezieht, kann pid auch als herkömmliche Prozesskennung angegeben werden. Der Zugriff auf einen Thread eines Multithread-Prozesses erfordert eine Thread-Kennung vom Typ, den gettid(2) zurückgibt. Für capset() kann pid auch -1 sein, d.h. die Änderung wird für alle Threads außer dem Aufrufenden und init(1) durchgeführt; ein Wert kleiner als -1 bewirkt die Änderung für alle Mitglieder der Prozessgruppe, deren Kennung gleich -pid ist.