安全—08day

最新推荐文章于 2024-07-18 16:53:02 发布
最新推荐文章于 2024-07-18 16:53:02 发布
阅读量627 收藏
点赞数
文章标签： 安全 linux 运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_52714299/article/details/129099843
版权

Apabilities

apabilities

Capabilities机制，是在Linux内核2.2之后引入的。它将root用户的权限细分为不同的领域，可以分别启用或禁用。从而，在实际进行特权操作时，如果euid不是root，便会检查是否具有该特权操作所对应的capabilities，并以此为依据，决定是否可以执行特权操作。

改变文件的所属者(chown())CAP_CHOWN
向进程发送信号(kill(), signal())CAP_KILL
改变进程的uid(setuid(), setreuid(), setresuid()等)CAP_SETUID
trace进程(ptrace())CAP_SYS_PTRACE
设置系统时间(settimeofday(), stime()等)CAP_SYS_TIME

Linux Capabilities

Capabilities 机制是在 Linux 内核 2.2 之后引入的，原理很简单，就是将之前与超级用户 root（UID=0）关联的特权细分为不同的功能组，Capabilites 作为线程（Linux 并不真正区分进程和线程）的属性存在，每个功能组都可以独立启用和禁用。其本质上就是将内核调用分门别类，具有相似功能的内核调用被分到同一组中。
这样一来，权限检查的过程就变成了：在执行特权操作时，如果线程的有效身份不是 root，就去检查其是否具有该特权操作所对应的 capabilities，并以此为依据，决定是否可以执行特权操作。
Capabilities 可以在进程执行时赋予，也可以直接从父进程继承。所以理论上如果给 nginx 可执行文件赋予了 CAP_NET_BIND_SERVICE capabilities，那么它就能以普通用户运行并监听在 80 端口上。

capability 名称描述
CAP_AUDIT_CONTROL启用和禁用内核审计；改变审计过滤规则；检索审计状态和过滤规则
CAP_AUDIT_READ允许通过 multicast netlink 套接字读取审计日志
CAP_AUDIT_WRITE将记录写入内核审计日志
CAP_BLOCK_SUSPEND使用可以阻止系统挂起的特性
CAP_CHOWN修改文件所有者的权限
CAP_DAC_OVERRIDE忽略文件的 DAC 访问限制
CAP_DAC_READ_SEARCH忽略文件读及目录搜索的 DAC 访问限制
CAP_FOWNER忽略文件属主 ID 必须和进程用户 ID 相匹配的限制
CAP_FSETID允许设置文件的 setuid 位
CAP_IPC_LOCK允许锁定共享内存片段
CAP_IPC_OWNER忽略 IPC 所有权检查
CAP_KILL允许对不属于自己的进程发送信号
CAP_LEASE允许修改文件锁的 FL_LEASE 标志
CAP_LINUX_IMMUTABLE允许修改文件的 IMMUTABLE 和 APPEND 属性标志
CAP_MAC_ADMIN允许 MAC 配置或状态更改
CAP_MAC_OVERRIDE忽略文件的 DAC 访问限制
CAP_MKNOD允许使用 mknod() 系统调用
CAP_NET_ADMIN允许执行网络管理任务
CAP_NET_BIND_SERVICE允许绑定到小于 1024 的端口
CAP_NET_BROADCAST允许网络广播和多播访问
CAP_NET_RAW允许使用原始套接字
CAP_SETGID允许改变进程的 GID
CAP_SETFCAP允许为文件设置任意的 capabilities
CAP_SETPCAP参考 capabilities man page
CAP_SETUID允许改变进程的 UID
CAP_SYS_ADMIN允许执行系统管理任务，如加载或卸载文件系统、设置磁盘配额等
CAP_SYS_BOOT允许重新启动系统
CAP_SYS_CHROOT允许使用 chroot() 系统调用
CAP_SYS_MODULE允许插入和删除内核模块
CAP_SYS_NICE允许提升优先级及设置其他进程的优先级
CAP_SYS_PACCT允许执行进程的 BSD 式审计
CAP_SYS_PTRACE允许跟踪任何进程
CAP_SYS_RAWIO允许直接访问 /devport、/dev/mem、/dev/kmem 及原始块设备
CAP_SYS_RESOURCE忽略资源限制
CAP_SYS_TIME允许改变系统时钟
CAP_SYS_TTY_CONFIG允许配置 TTY 设备
CAP_SYSLOG允许使用 syslog() 系统调用
CAP_WAKE_ALARM允许触发一些能唤醒系统的东西(比如 CLOCK_BOOTTIME_ALARM 计时器)

线程的 capabilities

每一个线程，具有 5 个 capabilities 集合，每一个集合使用 64 位掩码来表示，显示为 16 进制格式。

  1. Permitted 允许
  2. Effective 有效
  3. Inheritable 继承
  4. Bounding 边界
  5. Ambient 氛围

Permitted 允许

定义了线程能够使用的 capabilities 的上限。它并不使用线程的 capabilities，而是作为一个规定。也就是说，线程可以通过系统调用 capset() 来从 Effective 或 Inheritable 集合中添加或删除 capability，前提是添加或删除的 capability 必须包含在 Permitted 集合中（其中 Bounding 集合也会有影响，具体参考下文）。 如果某个线程想向 Inheritable 集合中添加或删除 capability，首先它的 Effective 集合中得包含 CAP_SETPCAP 这个 capabiliy。

Effective 有效

内核检查线程是否可以进行特权操作时，检查的对象便是 Effective 集合。如之前所说，Permitted 集合定义了上限，线程可以删除 Effective 集合中的某 capability，随后在需要时，再从 Permitted 集合中恢复该 capability，以此达到临时禁用 capability 的功能。

Inheritable

当执行exec() 系统调用时，能够被新的可执行文件继承的 capabilities，被包含在 Inheritable 集合中。这里需要说明一下，包含在该集合中的 capabilities 并不会自动继承给新的可执行文件，即不会添加到新线程的 Effective 集合中，它只会影响新线程的 Permitted 集合。

Bounding

Bounding 集合是 - 集合的超集，如果某个 capability 不在 Bounding 集合中，即使它在 Permitted 集合中，该线程也不能将该 capability 添加到它的 Inheritable 集合中。

Bounding 集合的 capabilities 在执行 fork() 系统调用时会传递给子进程的 Bounding 集合，并且在执行 execve 系统调用后保持不变。

  • 当线程运行时，不能向 Bounding 集合中添加 capabilities。
  • 一旦某个 capability 被从 Bounding 集合中删除，便不能再添加回来。
  • 将某个 capability 从 Bounding 集合中删除后，如果之前 Inherited 集合包含该 capability，将继续保留。但如果后续从 Inheritable 集合中删除了该 capability，便不能再添加回来。

Ambient

Linux 4.3 内核新增了一个 capabilities 集合叫 Ambient ，用来弥补 Inheritable 的不足。Ambient 具有如下特性：

  • Permitted 和 Inheritable 未设置的 capabilities，Ambient 也不能设置。
  • 当 Permitted 和 Inheritable 关闭某权限（比如 CAP_SYS_BOOT）后，Ambient 也随之关闭对应权限。这样就确保了降低权限后子进程也会降低权限。
  • 非特权用户如果在 Permitted 集合中有一个 capability，那么可以添加到 Ambient 集合中（也有了A权限），这样它的子进程便可以在 Ambient、Permitted 和 Effective 集合中获取这个 capability。现在不知道为什么也没关系，后面会通过具体的公式来告诉你。

Ambient 的好处显而易见，举个例子，如果你将 CAP_NET_ADMIN 添加到当前进程的 Ambient 集合中，它便可以通过 fork() 和 execve() 调用 shell 脚本来执行网络管理任务，因为 CAP_NET_ADMIN 会自动继承下去。

文件的 capabilities

文件的 capabilities 被保存在文件的扩展属性中。如果想修改这些属性，需要具有 CAP_SETFCAP 的 capability。文件与线程的 capabilities 共同决定了通过 execve() 运行该文件后的线程的 capabilities。

文件的 capabilities 功能，需要文件系统的支持。如果文件系统使用了 nouuid 选项进行挂载，那么文件的 capabilities 将会被忽略。

类似于线程的 capabilities，文件的 capabilities 包含了 3 个集合：

  • Permitted
  • Inheritable
  • Effective

这3个集合的具体含义如下：

Permitted

这个集合中包含的 capabilities，在文件被执行时，会与线程的 Bounding 集合计算交集，然后添加到线程的 Permitted 集合中。

Inheritable

这个集合与线程的 Inheritable 集合的交集，会被添加到执行完 execve() 后的线程的 Permitted 集合中。

Effective

这不是一个集合，仅仅是一个标志位。如果设置开启，那么在执行完 execve() 后，线程 Permitted 集合中的 capabilities 会自动添加到它的 Effective 集合中。对于一些旧的可执行文件，由于其不会调用 capabilities 相关函数设置自身的 Effective 集合，所以可以将可执行文件的 Effective bit 开启，从而可以将 Permitted 集合中的 capabilities 自动添加到 Effective 集合中。

运行 execve() 后 capabilities 的变化

我们用 P 代表执行 execve() 前线程的 capabilities，P' 代表执行 execve() 后线程的 capabilities，F 代表可执行文件的 capabilities。那么：

P’(ambient) = (file is privileged) ? 0 : P(ambient)

如果用户是 root 用户，那么执行 execve() 后线程的 Ambient 集合是空集；如果是普通用户，那么执行 execve() 后线程的 Ambient 集合将会继承执行 execve() 前线程的 Ambient 集合。

P’(permitted) = (P(inheritable) & F(inheritable)) |(F(permitted) & P(bounding))) |P’(ambient)

执行 execve() 前线程的 Inheritable 集合与可执行文件的 Inheritable 集合取交集，会被添加到执行 execve() 后线程的 Permitted 集合；可执行文件的 capability bounding 集合与可执行文件的 Permitted 集合取交集，也会被添加到执行 execve() 后线程的 Permitted 集合；同时执行 execve() 后线程的 Ambient 集合中的 capabilities 会被自动添加到该线程的 Permitted 集合中

P’(effective)   = F(effective) ? P’(permitted) : P’(ambient)

如果可执行文件开启了 Effective 标志位，那么在执行完 execve() 后，线程 Permitted 集合中的 capabilities 会自动添加到它的 Effective 集合中。

P’(inheritable) = P(inheritable) [i.e., unchanged]

执行 execve() 前线程的 Inheritable 集合会继承给执行 execve() 后线程的 Inheritable 集合。

P’(bounding) = P(bounding) [i.e., unchanged]

在这里插入图片描述

案例分析

方法一、依次执行如下命令

cd /usr/local/nginx/sbin/ 
chown root nginx
chmod u+s nginx

优点是，方便简单
缺点是，这个set uid 最后也是让nginx运行在root权限下。 ps -ef |grep nginx 查看的时候，nginx的主进程是运行在root下的。 虽然是可以让普通用户运行nginx服务，但是不是所有nginx进程都在用户本身下运行

方法二、iptables端口转发

使用非80端口启动程序，然后再用iptables做一个端口转发。

iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8080 
(
sysctl -w net.ipv4.ip_forward=1
iptables -F -t nat 
iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to:8088
)

优点：可以用第三方用户直接启动，nginx的主进程就是用户本身来启动的
缺点：额外增加开销，负载低的情况可以，负载高了 就不太好了

方案三、赋予nginx监听80端口的能力

在这里插入图片描述

chown -R tang:tang /usr/local/nginx
# 改一下/usr/local/nginxde1所有者和所属组
setcap cap_net_bind_service=+eip nginx /usr/local/nginx/sbin
#这使得普通用户也能够做只有超级用户才能完成的工作

在这里插入图片描述
安装php,配合nginx

安装 PHP 和 PHP FPM 软件包：
	yum install php php-cli php-fpm -y
检查服务状态，运行：
	systemctl status php7.4-fpm
配置php-fpm
修改配置监听9000端口来处理nginx的请求
listen = 127.0.0.1:9000

修改Nginx配置文件

vim /usr/local/nginx/conf/nginx.conf
location ~ \.php$ {
            root           html;
            fastcgi_pass   127.0.0.1:9000;
            fastcgi_index  index.php;
            fastcgi_param  SCRIPT_FILENAME  /scripts$fastcgi_script_name;
            include        fastcgi.conf;
}

重启一下nginx
然后访问http://192.168.137.131/index.php出现File not found错误处理
出现File not found错误处理，分两种情况:

1、php-fpm找不到SCRIPT_FILENAME里执行的php文件
fastcgi_param SCRIPT_FILENAME /scripts$fastcgi_script_name;
改为
fastcgi_param SCRIPT_FILENAME d o c u m e n t r o o t document_rootdocument ootfastcgi_script_name;
然后再重启nginx：进入nginx可执行目录sbin下，输入命令./nginx -s reload 即可
2、php-fpm不能访问所执行的php，也就是权限问题
找到你的php-fpm的配置文件，找到下面这段，把apache替换成你要的用户组
RPM: apache Choosed to be able to access some dir as httpd user = www
RPM: Keep a group allowed to write in log dir. group = www

测试

在这里插入图片描述

当兵回来你可还在
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
Day08
03-16
在JavaScript的世界里，"Day08"可能代表一个学习日程或者课程的第八天，主要聚焦于这门语言的不同方面。在这个阶段，我们通常会深入理解JavaScript的基础语法、变量、数据类型、操作符、控制流以及函数等核心概念。...
day08.zip
04-03
本案例中提到的"day08.zip"是一个压缩包文件，通常用于存储多个相关的文件或文件夹。在Windows、Mac OS或Linux等操作系统中，都有内置的工具或第三方软件可以处理.zip格式的压缩文件。 `.zip`是最早由SystemVision...
Nginx配置网络分流，监听80和443端口（Ubuntu22.04）
i156456365的博客
08-22 3394
启动重载配置查看状态。
nginx 普通用户使用80端口启动nginx nginx: [emerg] bind() to 0.0.0.0:80 failed (13: Permission denied)
yuezhilangniao的博客
11-22 1865
当我们用普通用户执行启动nginx时，无法启动成功，报错 nginx: [emerg] bind() to 0.0.0.0:80 failed (13: Permission denied) 报错原因 大家都知道默认情况下linux的1024以下端口是只有root用户才有权限占用，于是我们的tomcat，apache，nginx等等程序如果想要用普通用户来占用80端口的话就会抛出permission denied的异常。
nginx 配置监听端口出现 nginx: [emerg] bind() to 0.0.0.0:8081 failed (13: permission denied) SELinux
jiangshanwe
01-24 3656
场景 nginx配置8081端口监听，通过查看日志，出现nginx: [emerg] bind() to 0.0.0.0:8081 failed (13: permission denied)异常。但是其它端口监听/访问正常。 解决方案 检查已开放端口 sudo semanage port -l | grep http_port_t 如果8081端口未出现在列表中，则执行： sudo seman...
普通用户启动nginx
weixin_33709219的博客
07-11 1083
众所周知，linux 0-1024 端口是不允许非root权限用户占用的。但是在linux中，因为安全问题，root用户禁止登陆服务器，而且又不给普通用户 sudo权限这种情况下 nginx既要可以用普通用户启用，还要占用80端口首先用普通用户 编辑安装nginx目前我有三种解决方案：方案一SetUIDchmod u+s /usr/local/nginx/sbin...
nginx监听多域名的80端口
keybersan的博客
05-10 1万+
nginx监听多个域名的80端口有多种形式，以下简单介绍两种：1、在监听里面使用$host判断域名值，如：if ($host != 'www.test.com') {      rewrite ^/(.*)$ http://www.test.com/$1 permanent;  }2、第二种则是使用server_name 不同域名进行监听，如：server {        listen     ...
day08课件.zip
11-04
在IT行业中，学习资源的分享和管理经常采用压缩包文件的形式，例如"day08课件.zip"。这种文件类型是ZIP格式的压缩文件，它能够将多个文件或文件夹合并到一个单一的档案中，便于传输、存储和管理。ZIP格式在Windows...
day08、PKI.txt
07-17
网络安全之PKI相关课程笔记。描述了PKI的基本知识内容，附带一个小实验步骤。 PKI相关课程笔记，简述PKI的概述、特征、加密方式等内容。
python-Day08.rar
04-07
在"python-Day08.rar"这个压缩包中，我们很可能找到了一个关于Python爬虫的教程或项目，它可能涵盖了爬虫的基础知识以及一些进阶技巧。让我们详细探讨一下Python爬虫的相关知识点。 1. **基础概念**：首先，了解...
nginx配置多个server监听80端口 根据域名转发端口服务
热门推荐
进修的CODER
02-28 2万+
一、背景目标 一台服务器上面有多个服务，不同的服务有不同的端口，因为端口不好记住，所以决定配置根据域名来访问，实现不同域名转发到不到端口服务。需要用到nginx的端口转发功能。实现的目标截图如下： PS:截图中有两个域名，missbe.cn对应端口一服务，doc.missbe.cn对应端口二服务； 二、nginx配置安装 PS:安装nginx可以通过yum install -y ngin...
普通用户启动nginx监听80端口
purple尘的专栏
04-09 910
sudo setcap 'cap_net_bind_service+ep' ${NGINX_PATH} setcap的解释网上很多，这里不赘述.
捷配总结的SMT工厂安全防静电规则
tyymm的博客
07-17 524
SMT工厂须熟记的安全防静电规则！ 安全对于我们非常重要，特别是我们这种SMT加工厂，通常我们所讲的安全是指人身安全。 但这里我们须树立一个较为全面的安全常识就是在强调人身安全的同时亦必须注意设备、产品的安全。 电气： 怎样预防人身触电事故？ 1、发现有损坏的开关，电线等电气安全隐患，赶快向有关人员报告处理。2、不懂电气技术的人对电气设备不要乱装、乱拆。3、不要用湿手、湿脚动用电气设备(如: 按开关、按钮)。4、清扫卫生时，不要用湿抹布擦电线、开关按钮，一定要搞卫生，请先断开电
OWASP 移动应用 2024 十大安全风险
shendong70的博客
07-14 1241
随着智能手机的快速发展，移动应用已经成为我们日常生活关系最密切的软件应用。开放全球应用程序安全项目（OWASP）基金会，致力于提高软件的安全性。自 2014、2016年发布了移动应用的十大风险后，今年再次发布2024版。这对移动应用软件的检查工具有着重要的指导作用。
AI安全系列——[第五空间 2022]AI（持续更新）
2201_76139143的博客
07-15 1014
最近很长时间没有更新，其实一直在学习AI安全，我原以为学完深度学习之后再学AI安全会更加简单些，但是事实证明理论转实践还是挺困难的，但是请你一定要坚持下去，因为“不是所有的坚持都有结果，但总有一些坚持，能从冰封的土地里，培育出十万朵怒放的蔷薇”题目来源：NSSCTF题目描述：噪声在大数据场景下有着重要的地位。工程师们苦于被噪声污染的数据，同时也使用噪声保护着隐私数据。这个挑战分为两个部分。挑战1：从噪声中恢复隐私向量有A,B两个实体。其中B是普通实体，A则是恶意攻击者。
浅谈安数云智能安全运营管理平台：DCS-SOAR
2401_82472120的博客
07-15 826
安数云DCS-SOAR平台致力于解决用户云上资产的安全运营问题，面对用户防护设备繁杂臃肿、安全事件难以及时响应、运营成本逐年上升的困境，安数云DCS-SOAR平台以安全大脑驱动为核心，建立运营体系，通过OneStep框架实现第三方安全产品的“无门槛接入、低门槛纳管”；威胁和告警数量不断增长，资源又不足以应对所有问题，在日常运营中，分析人员需要快速决定哪些告警需要处理，哪些可以忽略，但由于超负荷工作，很可能错过真正的威胁，在应对威胁和恶意攻击时出现误判，最终使网络及数据产生安全泄露，造成无可挽回的损失。
高性能、安全、低碳绿色的趋势下，锐捷网络发布三擎云办公解决方案 3.0
最新发布
CSDN云计算
07-18 610
去确保性能体验流畅。与上一代产品相比，三擎云办公 3.0 新增 130+功能特性，不仅充分对标了主流云桌面平台的核心功能，如热补丁升级与第三方存储和计算平台支持，还通过一系列创新技术，如智能透明加密技术，独享应用虚拟化技术，增强协议技术，智能 IO 调度技术等，在体验、安全、降本、增效等多个维度上展现出差异化优势。近日，锐捷网络重磅发布了三擎云办公解决方案 3.0，针对新趋势下挑战，一口气推出了 130 多项功能特性，希望为用户构建一个集安全、高效、体验于一身，实现成本优化的云桌面办公系统环境。
飞睿智能UWB Tag蓝牙防丢器标签，宠物安全新升级，5cm精准定位测距不迷路
m0_59195407的博客
07-16 630
这意味着，无论你的宠物是在家中的某个角落捉迷藏，还是在公园的人海中穿梭，飞睿智能UWB Tag都能迅速锁定其位置，让你轻松找到它。想象一下，当晨光初破晓，你带着心爱的宠物踏上晨跑的旅程，手中轻轻握着的，不仅是牵引绳，更是对宠物安全的满满承诺。想象一下，即使在外忙碌，只需轻点手机，就能掌握宠物的一切动态，这种安心与便利，是任何传统防丢手段都无法比拟的。飞睿智能UWB Tag蓝牙防丢器，以其精准的定位、智能的功能、耐用的品质，成为了守护宠物安全的得力助手。用户见证：口碑的力量，爱的传递。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值