linux - 如何计算流程的最小能力集？

Question

为任何进程计算最小 Linux 功能集的最佳方法是什么？

假设您正在加固操作系统，并且您的某些工具可能需要 CAP_NET_ADMIN 和相关的网络权限，而其他工具可能需要 CAP_SYS_NICE。应该有一种方法可以告诉每个可执行文件哪些功能是真正需要的。

Answer 1

在运行时确定所需功能的两种可能方法:

• 随后在 strace 下运行您的程序，无需 root 权限。使用 EPERM 确定哪些系统调用失败，并向您的程序添加相应的功能。重复此操作，直到收集到所有功能。
• 使用SystemTap、DTrace 或Kprobes 来记录或拦截内核中为您的程序进行的功能检查。 (例如，使用 BCC 工具套件中的 capable，如 here 所述)

我想，具有良好覆盖率的单元测试会有很大帮助。另请注意 capabilities(7)手册页列出了可能需要每种功能的系统调用(尽管它不是完整列表)。

更新:

article @RodrigoBelem 提到的 capable_probe 模块，它基于 KProbes。

关于此模块的原始文章是“POSIX 文件功能:分解 root 的力量”，现在不可用(托管 here)。但是你可以找到 source code和 some docs在互联网上。