Wie sud ich den aktuellen Prozess?

Question

Ist es möglich, ein Sudo-Frontend (wie Gksudo) zu verwenden, um die Privilegien des aktuellen Prozesses zu erhöhen? Ich weiß, ich kann folgendes tun:

sudo cat /etc/passwd- 

Aber ich bin interessiert dies tun:

sudo-become-root # magic function/command 
cat /etc/passwd- 

ich in Python zu schreiben. Mein Anwendungsfall ist, dass ich ein Programm habe, das als Benutzer ausgeführt wird, aber möglicherweise Dateien zum Lesen/Schreiben, die root-Besitz sind. Ich möchte zur Eingabe eines Kennworts auffordern, Root-Rechte erlangen, tun, was ich brauche, und dann optional die Zugriffsrechte wieder löschen.

Ich weiß, ich könnte Admin-Logik und Nicht-Admin-Logik in separate Prozesse trennen, und dann nur den Admin-Prozess als root (mit einigen Kommunikation - PolicyKit/dbus wäre eine gute Passform hier). Aber ich hatte auf eine viel einfachere (wenn auch zugegebenermaßen risikoreichere) Lösung gehofft.

Ich denke so etwas wie Ausführen von Solaris ppriv durch Sudo, um dann die Berechtigungen des aktuellen Prozesses zu ändern. Was wie ein hacky-but-machbare Roundtrip aussieht. Aber soweit ich weiß, bietet Linux keinen PPriv an.

(Ich bin überrascht, das ist nicht offensichtlich bereits; es scheint wie eine nicht-ungewöhnliche Sache zu wollen und nicht scheinen scheinen eine Sicherheitslücke zu Eskalation im Prozess über Eskalation eines neuen Prozesses zu ermöglichen . ist

)

Answer 1

Leider weiß ich nicht, wie Sie sauber machen können. Ich denke, Ihre beste Wette ist, das Programm setuid (oder führen Sie es unter sudo) und dann entweder Ihre schmutzige Arbeit und Drop-Berechtigungen oder fork() und drop Berechtigungen von einem Prozess und halten Sie den anderen herum, um Ihre root-Arbeit zu tun .

Was Sie suchen, sind die setuid (2)/settreuid (2)/setregid (2)/setgroups (2) Anrufe, aber sie sind alle fest verdrahtet, damit Sie keine Privilegien Mitte Aufruf erhalten. Sie können sie nur benutzen, um Privilegien zu "verschenken", soweit ich weiß.

Answer 2

Ihre magische Funktion/Befehl

sudo su 

Answer 3

echo 'echo tee; echo hee'|sudo -s 

Der Ausgang könnte:

tee 
hee 

Answer 4

Wenn Sie innerhalb eines Programms mit administrativen Rechten sauber umgehen möchten, sollten Sie möglicherweise PolicyKit anstelle von sudo verwenden, abhängig davon, auf welchem ​​Betriebssystem Sie Ihr Programm ausführen möchten.

Für PolicyKit für Python, siehe python-slip.

Ansonsten gibt es zwei Möglichkeiten, sudo zu nennen root zu werden:

sudo -s 

werden Sie root machen und Ihre aktuelle Umgebung halten (entspricht sudo su)

sudo -i 

werden Sie root machen und Geben Sie auch die Umgebung von root an (entspricht sudo su -)

Eine andere Möglichkeit, sich mit dem Problem zu befassen, ist, dies zu berücksichtigen die Rechte, die Sie benötigen, und lassen Sie den Benutzer des Programms wählen, wie Sie die Rechte für Ihr Programm geben (mit sudo/setuid/Unix-Gruppen/was auch immer sonst).

Siehe auch this question on ServerFault zum selben Thema.

Answer 5

Aptitude hat eine "wurzeln" Option. Vielleicht möchten Sie sehen, was der Autor dort getan hat.

Answer 6

Ich mag die Idee nicht, beliebige Befehle als root von einem weniger privilegierten Prozess ausführen zu können. Aber da Sie es wollen, ist eine der Ideen, die Ihnen in den Sinn kommen, ein setuidrestricted shell zu behalten, der nur die Befehle ausführen kann, an denen Sie interessiert sind. Sie können dann die subprocess.Popen-Funktionen verwenden, um Ihren Befehl mit dieser eingeschränkten Shell auszuführen, die ihn mit erhöhten Rechten ausführen wird.

Answer 7

Ich frage mich, ob das funktionieren würde:

ein andere Gruppe zu Ihrem System hinzufügen, das Skript als root-Programm installiert und hat die sudoers-Datei enthält eine Zeile, die das Skript von dieser Gruppe ausgeführt werden kann. Fügen Sie die Gruppe schließlich zur Liste der Konten hinzu, die das Skript ausführen müssen.

Dann kann das Skript nur von root oder einem anderen Konto ausgeführt werden, das die spezielle Gruppe in der Gruppe hat, nachdem das Kontopasswort beim Start eingegeben wurde.

Weitere Optionen finden Sie unter Sudo Manual.

Answer 8

Sie möchten mit PAM authentifizieren. Es gibt eine example here.