setuid包装器的注意事项

Question

我编写的Python扩展需要root访问才能执行单个硬件初始化调用。 我宁愿不以root身份运行整个脚本只是为了我的扩展中的这一个调用，所以我想编写一个包装器来执行此初始化，然后再下载到用户权限并运行实际脚本。

我打算通过sudo运行这个包装器，例如

$ sudo devwrap python somescript.py

我正在考虑类似的东西（ 更新以修复几个错误 ）：

int main(int argc, char * argv[])
{
  if(argc < 2) return 0;

  int res = do_hardware_init();
  if(res != OK_VALUE)
  {
    // Print error message
    return HW_ERR;
  }

  const char *sudo_uid = getenv("SUDO_UID");
  if(sudo_uid)
  {
      int real_uid = (int) strtol(sudo_uid, NULL, 0);
      setuid(real_uid);
  }

  return execvp(argv[1], &argv[1]); // No return if successful

}

所以我有三个问题：

1. 这看起来很健康吗？ 我通常不需要弄乱* uid（）调用，所以我不熟悉常见的陷阱。 execvp调用也看起来有点离奇，但据我所知，它在正确的地方有参数）。
2. execvp手册页说“不应该直接通过应用程序访问环境数组” - 这是否会使getenv调用成为一个坏主意？
3. 有没有比execvp更好的调用，所以我可以做sudo devwrap somescript.py （注意没有“python”）

Answer 1

1. 理智的...更多下面。
2. 使用getenv()不能直接访问environ数组 - 这很干净。 直接访问environ数组意味着'strcpy（buffer，environ [3]）`或类似的东西。
3. 如果脚本以shebang（也许是#!/usr/bin/env python ）开头，那么你可以做你想要的 - 当然， somescript.py必须是可执行的。

我在第一部分看到的问题取决于你如何处理来自硬件初始化的错误。 如果省略的错误处理没有退出，那么你可以在不通过'sudo'运行时获得核心转储（或段错误），因为你在空指针上运行strtol() 。 如果do_hardware_init()本身在失败时退出，则没有问题，除非用户找到从“sudo”破坏环境的方法。 我真的认为你应该验证环境，如果没有合理地设置SUDO_UID，则退出并出现错误。 root想要运行此扩展吗？

我没有看过sudo的规范，看它确实设置了SUDO_UID环境变量 - 我假设你是正确的。

输入此用户的后果有什么影响？

sudo devwrap ls

它执行硬件初始化，重置UID，然后运行ls - 可能不是太有害，但可能不是你想到的。 那有关系吗？ 你能控制一下吗？

如果参数计数小于2，您可能应该退出错误，而不是成功退出。

---

要求人们通过'sudo'运行扩展是非常不寻常的。

你确定没有其他方法可以实现吗？ 初始化有哪些要求？ 它是针对所有流程执行一次，还是针对每个流程执行一次（因此链接至关重要）？

---

你能简单地让devwrap程序SUID root吗？ 然后，您需要以不同方式重置UID：

setgid(getgid());
setuid(getuid());

这会在执行命令之前删除任何SGID-ness和任何SUID-ness。 这很难造成重大伤害。 如果在没有SGID的情况下安装程序，则不清楚setgid()调用是强制性的，但它也没有任何危害。