Исходное сообщение
"Выпуск Raspberry Pi Desktop для ПК и Raspbian для Raspberry ..." Отправлено пох, 04-Дек-17 00:27
> А вместо suid'а на пинг сделать setcap cap_net_raw+ep /bin/ping и получить ping без suid'а но > работающий под юзером они не осилили? не осилили. Потому что при проломе (например, через setenv) получается cap_net_raw (и дальше рут через дырки в ядре), а счастливый юзверь даже не увидит что о нем "позаботились" где не надо. Причем если ты это сделаешь с программой посложнее пинга, станет хуже чем было, потому что штатно-suid программы часто умеют, выполнив необходимый минимум, типа bind(), uid поменять, а вот о твоем авангарде - ни сном, ни духом, и сбросить его не догадаются. В свое время owl'овцы пытались в полтора рыла улучшить мир, патча-перепатча все подряд на тему, вместо if(geteuid()) { опаньки! }  проверять a) наличие в данной системе capabilities b) наличие у себя расширенных c) правильно их сбрасывать когда перестали быть нужны. Что-то там даже и пропихнулось обратно в апстримы, но это была капля в море. В том числе и потому, что апстримам не нравились линукс-онли патчи.

Ваше сообщение
Имя*:
EMail:	Для отправки ответов на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	>> А вместо suid'а на пинг сделать setcap cap_net_raw+ep /bin/ping и получить ping без suid'а но >> работающий под юзером они не осилили? > не осилили. Потому что при проломе (например, через setenv) получается cap_net_raw (и > дальше рут через дырки в ядре), а счастливый юзверь даже не > увидит что о нем "позаботились" где не надо. > Причем если ты это сделаешь с программой посложнее пинга, станет хуже чем > было, потому что штатно-suid программы часто умеют, выполнив необходимый минимум, типа > bind(), uid поменять, а вот о твоем авангарде - ни сном, > ни духом, и сбросить его не догадаются. > В свое время owl'овцы пытались в полтора рыла улучшить мир, патча-перепатча все > подряд на тему, вместо if(geteuid()) { опаньки! } проверять a) > наличие в данной системе capabilities b) наличие у себя расширенных c) > правильно их сбрасывать когда перестали быть нужны. Что-то там даже и > пропихнулось обратно в апстримы, но это была капля в море. В > том числе и потому, что апстримам не нравились линукс-онли патчи.
	Введите код, изображенный на картинке: