我希望使系统可用,而不需要使用
setuid
、文件"+p"功能,通常情况下也不需要使用在设置PR_SET_NO_NEW_PRIVS时禁用的东西。
采用这种方法(init
设置了PR_SET_NO_NEW_PRIVS
且基于文件系统的能力提升不再可能),您无法“重新填充”您的能力,只需小心不要“溅”它们即可。
如何在不“溅”任何授予的能力的情况下execve
其他进程(例如,如果新程序的文件是setcap =ei
)?只需像“我信任这个新进程一样信任自己”一样。例如,向一个用户授予一个能力(并且该用户希望在启动的任何程序中行使该能力)...
我可以让整个文件系统永久地=ei
吗?我希望保持文件系统不干扰该方案,不能授予或撤销能力;通过父->子关系来控制所有内容。