Come utilizzare setuid() da root per diventare utente, con la possibilità di diventare nuovamente root in seguito?

Question

Sto provando a fare la cosa sicura e ho un programma che deve essere eseguito come root per eliminare i suoi privilegi quando non ne ha bisogno. Funziona bene se ho chmod il mio binario con il bit SUID e lo faccio appartenere a root, poiché ora ho UID = qualche utente e EUID = root, quindi posso usare seteuid(0) e seteuid(getuid()) rispettivamente per aumentare e rilasciare i diritti di amministratore.

Ma se uso sudo invece di impostare SUID, quindi UID == EUID == 0, e quindi chiamare seteuid(getuid()) non avrà alcun effetto. E non posso semplicemente cambiare lo UID con un certo valore da qualche utente casuale, dato che la pagina man setuid() afferma chiaramente che se viene chiamata da un programma in esecuzione come root, si perdono i privilegi per sempre, senza alcuna speranza di farli tornare indietro.

Quindi, come posso fare in modo che il mio programma perda temporaneamente i suoi privilegi quando viene eseguito utilizzando sudo?

Answer 1

seteuid(some random uid) per rilasciare i privilegi, seteuid(0) per riaverli, quando è in esecuzione come root.

Answer 2

Non una risposta diretta, vorrei solo indicarti l'idea di privilege separation. Ecco un ottimo presentation del fondatore di OpenBSD Theo de Raadt.

Answer 3

Sembra seteuid (x) dovrebbe funzionare a cadere e re-raise privs ...

$ cat > t12.c 
#include <stdio.h> 
#include <unistd.h> 

void p(void) { printf("euid=%4d uid=%4d\n", geteuid(), getuid()); } 

int main(void) { p(); seteuid(100); p(); seteuid(0); p(); return 0; } 
$ cc -Wall t12.c 
$ sudo chown root a.out && sudo chmod 4555 a.out 
$ sudo ./a.out 
euid= 0 uid= 0 
euid= 100 uid= 0 
euid= 0 uid= 0 
$ ./a.out 
euid= 0 uid= 501 
euid= 100 uid= 501 
euid= 0 uid= 501 
$ 

Answer 4

fork() prima di cadere privilegi. Attendere l'attività genitore fino a quando il bambino con privilegi ridotti viene fatto, quindi riprendere in parent con root.

seteuid non è portatile per tutti i dispositivi e ha anche altri inconvenienti.