Я пользуюсь ОС Linux Slackware. У меня возник вопрос - почему пользователь самостоятельно не может менять эффективную группу на любую из тех, в которые входит, не использую setuid команды, то есть не через root. Я знаю о cap_set_gid - но эта возможность менять эффективную группу вообще на любую системную. В man setegid вообще о необходимых привелегиях почти ничего не сказано. Sg - setuid программа, и запускает ещё одну оболочку с нужной эффективной группой. Мне интересно почему нельзя сменить группу в текущей оболочке, с чем связано такое поведение системы? Где об этом можно почитать?
Спасибо.
> Я пользуюсь ОС Linux Slackware. У меня возник вопрос - почему пользователь
> самостоятельно не может менять эффективную группу на любую из тех, в
> которые входит, не использую setuid команды, то есть не через root.
> Я знаю о cap_set_gid - но эта возможность менять эффективную группу
> вообще на любую системную. В man setegid вообще о необходимых привелегиях
> почти ничего не сказано. Sg - setuid программа, и запускает ещё
> одну оболочку с нужной эффективной группой. Мне интересно почему нельзя сменить
> группу в текущей оболочке, с чем связано такое поведение системы? Где
> об этом можно почитать?
> Спасибо.видимо потому, что это был бы способ обойти ограничения доступа
представьте каталог с доступом 705, у которого доступ для группы полностью закрыт, а тут вуаля, меняем gid, и он доступен
> видимо потому, что это был бы способ обойти ограничения доступа
> представьте каталог с доступом 705, у которого доступ для группы полностью закрыт,
> а тут вуаля, меняем gid, и он доступенДак sg тоже позволит сменить группу и зайти в каталог, только с участием root. А почему нельзя пользователю это делать самостоятельно. set-uid root на newgrp мне ещё понятно, для добавления группы в список групп процесса это видимо нужно. Но substitute group (sg) это сиволическая ссылка на newgrp, а для sg мне это непонятно.
>> видимо потому, что это был бы способ обойти ограничения доступа
>> представьте каталог с доступом 705, у которого доступ для группы полностью закрыт,
>> а тут вуаля, меняем gid, и он доступен
> Дак sg тоже позволит сменить группу и зайти в каталог, только с
> участием root. А почему нельзя пользователю это делать самостоятельно. set-uid root
> на newgrp мне ещё понятно, для добавления группы в список групп
> процесса это видимо нужно. Но substitute group (sg) это сиволическая ссылка
> на newgrp, а для sg мне это непонятно.видимо потому, что это был бы способ обойти ограничения доступа
представьте каталог с доступом 705, у которого доступ для группы полностью закрыт, а тут вуаля, меняем gid, и он доступенможет соизволите понять то, что я написал?