linux capability

一 capability集：

能力                                               作用                                                                                                        危险

CAP_AUDIT_CONTROL：         Control kernel auditing

CAP_AUDIT_READ：                 Read the audit log via a multicast netlink socket

CAP_AUDIT_WRITE：               Write records to kernel audit log

CAP_BLOCK_SUSPEND：       Can prevent the system from suspending

CAP_CHOWN：                        Change file user and group                                                                      Yes

CAP_DAC_OVERRIDE：         Bypass file permission checks                                                                Yes

CAP_DAC_READ_SEARCH： Read all files and directories                                                                    Yes

CAP_FOWNER：                      Perform operations on files owned by other users such as chmod, chattr or utime             Yes

CAP_FSETID：                         Keep suid and guid permissions when modifying a file                             Yes

CAP_IPC_LOCK：                    Lock memory (mlock, mlockall, mmap, shmctl)                       

CAP_IPC_OWNER：                Bypass shared memory permission checks                                             Yes

CAP_KILL：                               Send signals to any process

CAP_LEASE：                          Establish leases on any file

CAP_LINUX_IMMUTABLE：    Make files immutable and remove ability append to file using chattr

CAP_MAC_ADMIN：                Perform MAC administration (for Smack LSM)                                           Yes

CAP_MAC_OVERRIDE：        Override MAC (for Smack LSM)                                                                 Yes

CAP_MKNOD：                        Create files using mknod()

CAP_NET_ADMIN：                Perform network administration such as configuring interfaces or routing tables                   Yes

CAP_NET_BIND_SERVICE： Bind socket to privileged port (< 1024)

CAP_NET_BROADCAST：     Make socket broadcasts and listen to multicasts

CAP_NET_RAW：                    Use RAW and PACKET sockets

CAP_SETGID：                        Change to any Group ID

CAP_SETFCAP：                     Set file capabilities                                                                                        Yes

CAP_SETPCAP：                     Set capabilities if file capabilities not present

CAP_SETUID：                        Change to any User ID

CAP_SYS_ADMIN：                Perform privileged system administration operations such as mount, swapon, sethostname and keyctl.This capability in particular, can be used in                                                                 multiple ways to gain
additional privileges.                                           Yes

CAP_SYS_BOOT：                 Can reboot and kexec_load

CAP_SYS_CHROOT：           Can chroot

CAP_SYS_MODULE：           Can load and unload kernel modules

CAP_SYS_NICE：                  Change process priority levels and scheduling class (e.g. to real-time)

CAP_SYS_PACCT：              Can use acct

CAP_SYS_PTRACE：            ptrace any process                                                                                         Yes

CAP_SYS_RAWIO：               Perform I/O port operations and access /proc/kcore. Override zero mmap restrictions.

CAP_SYS_RESOURCE：      Set or override resource limits

CAP_SYS_TIME：                  Can set the system clock and real-time hardware clock

CAP_SYS_TTY_CONFIG：   Can hang up the current tty

CAP_SYSLOG：                    Can configure the behavior of printk() to affect the kernel’s syslog

CAP_WAKE_ALARM：          Can trigger something to wake the system

注意：不能版本内核可能会有些差异，有些是后面才增加的。

二 能力的传递

子进程capabilities 获得能力的方式有两种：
a.从父进程继承；
b.从file capabilities，如果可执行文件设置了，和setuid和setgid类似可获得比父进程更大的能力集，file capabilities保存在XATTR中；

通过fork或clone创建的子进程：

permitted, effective 和 inheritable capabilities 跟父进程保持一致

通过exec启动的进程：

a.如果设置了file capabilities，则子进程能力为：
/*
* pP' = (X & fP) | (pI & fI)
*/
new->cap_permitted.cap[i] =
(new->cap_bset.cap[i] & permitted) |
(new->cap_inheritable.cap[i] & inheritable); 

其中permitted和inheritable从file capabilities读取。
         如果设置了file effective capability，则：
if (effective)
new->cap_effective = new->cap_permitted;
else
cap_clear(new->cap_effective);

b.如果没有设置file capabilities， 则从父进程继承能力的规则为：
   父进程为root，则继承到的能力为：
if (new->euid == 0 || new->uid == 0) {
/* pP' = (cap_bset & ~0) | (pI & ~0) */
new->cap_permitted = cap_combine(old->cap_bset,
old->cap_inheritable);
}

即cap_bset | cap_inheritable；
   如果父进程为非root，则子进程失去所有能力。
关于能力继承，不能版本内核处理也许会有所差异，这里只是v3.3.8的处理规则，具体的可以查看内核源代码：
prepare_binprm（）---------->security_bprm_set_creds()------------->cap_bprm_set_creds()

file capabilities 的开启：

a.确保kernel支持；
b.设置执行文件：setcap cap_sys_nice+pe myapp