permissions - cap_dac_override 是 cap_dac_read_search 的超集吗？

Question

我正在努力限制现有的复杂应用程序的功能，并且我一直在寻找可靠的来源证明这一点cap_dac_override 中包含的权限是 cap_dac_read_search 的超集.

根据 capabilities(7) ，情况确实如此，这似乎是合乎逻辑的。 :

CAP_DAC_OVERRIDE
* Bypass file read, write, and execute permission checks.

CAP_DAC_READ_SEARCH
* Bypass file read permission checks and directory read and execute permission checks;
* invoke open_by_handle_at(2);
* use the linkat(2) AT_EMPTY_PATH flag to create a link to a file referred to by a file descriptor.

此外，我对功能检查跟踪器的实验证实 cap_dac_override应该足够了。 cap_dac_read_search之前好像查过 cap_dac_override每次执行读访问时。

我还在 grsecurity forums 上找到了以下帖子，不幸的是只涉及 /proc :

The way the upstream kernel works is by first checking for CAP_DAC_OVERRIDE and then for CAP_DAC_READ_SEARCH for this case.

我仍然不确定省略 cap_dac_read_search 是否完全安全如果我想授予我的应用程序对整个文件系统的完全读取访问权限。我完全知道 cap_dac_override另外授予写权限，我想要。

内核中的某个地方是否有可能只检查 cap_dac_read_search制造而不是为 cap_dac_override ?

为了安全起见，我应该同时包含这两个功能还是 cap_dac_read_search在这种情况下完全多余？

Answer 1

不它不是。 CAP_DAC_OVERRIDE只允许忽略文件的权限位。 CAP_DAC_READ_SEARCH允许忽略读权限位，也允许执行系统调用 open_by_handle_at它可用于在容器 chroot 之外读取。

见 https://github.com/gabrtv/shocker用于实际应用。

如果您的应用程序只需要完全访问文件系统，那么 CAP_DAC_OVERRIDE正如你已经得出的结论。