主页 / unix / 问题 / 791390
Accepted
codeandfire
Asked: 2025-02-21 16:16:46 +0800 CST

为什么有些符号链接虽然目标可读，但却不可读？

  • 772

在 Linux 上，我正在查看/proc/1/cwd。普通用户无法读取此符号链接：

$ ls /proc/1/cwd
ls: cannot access '/proc/1/cwd': Permission denied

但/proc/1可以访问：

$ ls /proc/1
<output>

成为 root 之后，您会看到/proc/1/cwd指向/（文件系统根目录）：

$ sudo ls -l /proc/1/cwd
lrwxrwxrwx 1 root root 0 Feb 21 12:56 /proc/1/cwd -> /

当然，作为普通用户，文件系统根是可读的：

$ ls /
<output>

如果符号链接在 Linux 上没有任何权限，那么当其目标（文件系统根目录）可读时，为什么这样的符号链接不可读？

linux

2 个回答

  1. Best Answer

    读取/通常不具有特权，但了解其他用户进程的当前工作目录则具有特权。在允许之前/proc添加了额外的检查readlink：

    取消引用或读取（）此符号链接的权限受访问模式 检查readlink(2)的管辖；请参阅。ptracePTRACE_MODE_READ_FSCREDSptrace(2)

    这适用于 内的其他链接/proc，特别是exe和root。原因类似：进程的可执行文件通常可供所有人读取，但了解给定进程的可执行文件是敏感信息。

    • 5

  2. 这是该进程的当前工作目录，被视为私密的并且可能是敏感的。

    看man 5 proc_pid_cwd：

    取消引用或读取的权限（readlink（2））此符号链接受 ptrace 访问模式PTRACE_MODE_READ_FSCREDS检查的约束；请参阅ptrace（2）

    使用 [ man 2 ptrace] 具有：

    Ptrace 访问模式检查

    内核用户空间 API 的各个部分（不仅仅是ptrace() 操作）都需要所谓的“ptrace 访问模式”检查，其结果决定是否允许操作（或者，在少数情况下，导致“读取”操作返回已清理的数据）。这些检查是在一个进程可以检查有关另一个进程的敏感信息或在某些情况下修改另一个进程的状态的情况下执行的。检查基于以下因素：两个进程的凭据和功能，“目标”进程是否可转储，以及任何已启用的 Linux 安全模块 (LSM)（例如 SELinux、Yama 或 Smack）和 commoncap LSM（始终被调用）执行的检查结果。

    在 Linux 2.6.27 之前，所有访问检查都属于单一类型。从 Linux 2.6.27 开始，区分了两种访问模式级别：

    PTRACE_MODE_READ

    对于“读取”操作或其他不太危险的操作，如：get_robust_list(2)；kcmp(2)；读取 /proc/pid/auxv、/proc/pid/environ、 或/proc/pid/stat；或 readlink(2) 一个/proc/pid/ns/*文件。
    [...]

    PTRACE_MODE_FSCREDS

    使用调用者的文件系统 UID 和 GID（请参阅 credentials(7)）或有效功能进行 LSM 检查。
    [...]
    因为将其中一个凭证修饰符与前面提到的访问模式之一结合起来很常见，所以在内核源中为这些组合定义了一些宏：

    PTRACE_MODE_READ_FSCREDS

    定义为PTRACE_MODE_READ | PTRACE_MODE_FSCREDS。

    并且man 7 credentials具有：

    • 文件系统用户 ID 和文件系统组 ID（特定于 Linux）。这些 ID 与下面描述的补充组 ID 一起用于确定访问文件的权限；有关详细信息，请参阅 path_resolution(7)。每当进程的有效用户（组）ID 发生更改时，内核也会自动将文件系统用户（组）ID 更改为相同的值。因此，文件系统 ID 通常具有与相应的有效 ID 相同的值，因此 Linux 上文件权限检查的语义与其他 UNIX 系统上的语义相同。通过调用 setfsuid(2) 和 setfsgid(2)，可以使文件系统 ID 与有效 ID 不同。

    （本质上与有效ID相同，根据setfsgid()手册页，那些 Linux 特定的 FS ID 已被弃用，因为不再需要）。

    因此，基本上，为了能够执行readlink()或取消引用/proc/$pid/cwd，调用进程（如果它与 无关$pid）必须具有与 相同的凭据$pid。请注意，它会根据 的所有有效、实际和已保存 ID 检查调用进程文件系统（有效）ID$pid。因此，如果$pid具有不同的有效和实际 gid（例如，当进程执行在其权限中设置了 sgid 位的文件时），则只有root（或具有适当功能的进程）才能获取该信息。

    对于 pid 1 的情况，通常以 1 的身份运行root并且没有父进程，只能root获取该信息。

    附注：请注意，ls有和没有 时的行为会有所不同-l。

    使用-l（或使用一些其他选项来报告目标文件的某些属性，例如-F），对文件ls执行，因此对于符号链接，将返回有关符号链接本身的信息，但如果没有，它会执行，因此取消引用符号链接（并且如果成功，将列出 pid 1 的当前工作目录的内容）。lstat()stat()stat()ls /proc/1/cwd

    • 2

相关问题