进程控制之更改用户ID和组ID

进程控制之更改用户ID和组ID

在UNIX系统中，特权（例如能改变当前日期的表示法以及访问控制（例如，能否读、写一特定文件））是基于用户ID和组ID的。当程序需要增加特权，或需要访问当前并不允许访问的资源时，我们需要更换自己的用户ID或组ID，使得新ID具有合适的特权或访问权限。与此类似，当程序需要降低其特权或阻止对某些资源的访问时，也需要更换用户ID或组ID，从而使新ID不具有相应特权或访问这些资源的能力。

一般而言，在设计应用程序时，我们总是试图使用最小特权（least privilege）模型。依照此模型，我们的程序应当只具有为完成给定任务所需的最小特权。这减少了安全性受到损害的可能性。

可以用setuid函数设置实际用户ID和有效用户ID。与此类似，可以用setgid函数设置实际组ID和有效组ID。

#include <unistd.h>
-

关于谁能更改ID有若干规则。现在先考虑有关改变用户ID的规则（关于用户ID所说明的一切都适用于组ID）。

与进程关联的ID可参考：http://www.cnblogs.com/nufangrensheng/p/3501832.html

（1）若进程具有超级用户特权，则setuid函数将实际用户ID、有效用户ID，以及保存的设置用户ID设置为uid。

（2）若进程没有超级用户特权，但是uid等于实际用户ID或保存的设置用户ID，则setuid只将有效用户ID设置为uid。不改变实际用户ID和保存的设置用户ID。

（3）如果上面两个条件都不满足，则将errno设置为EPERM，并返回-1。

关于内核所维护的三个用户ID，还要注意下列几点：

（1）只有超级用户进程可以更改实际用户ID。

（2）仅当对程序文件设置了设置用户ID位时，exec函数才会设置有效用户ID。如果设置用户ID位没有设置，则exec函数不会改变有效用户ID，而将其维持为原先值。任何时候都可以调用setuid，将有效用户ID设置为实际用户ID或保存的设置用户ID（也只会在这两个ID之间切换）。自然，不能将有效用户ID设置为任意随机值。

（3）保存的设置用户ID是由exec复制有效用户ID得来的。如果设置了文件的设置用户ID位，则在exec根据文件的用户ID设置了进程的有效用户ID以后，就将这个副本保存起来。

注意，http://www.cnblogs.com/nufangrensheng/p/3509352.html中所述的getuid和geteuid函数只能获得实际用户ID和有效用户ID的当前值。我们不能获得所保存的设置用户ID的当前值。

                                                    表8-7 改变三个用户ID的不同方法

-

如若其中任一参数的值为-1，则表示相应的ID应当保持不变。

相关规则很简单：一个非特权用户总能交换实际用户ID和有效用户ID。这就允许一个设置用户ID程序转换成只具有普通用户的普通权限，以后又可再次转换回设置用户ID所得到的额外权限。

2、seteuid和setegid函数

类似于setuid和setgid，但只更改有效用户ID和有效组ID。

#include <unistd.h>
-

一个非特权用户可将其有效用户ID设置为其实际用户ID或其保存的设置用户ID。对于一个特权用户，则可将其有效用户ID设置为uid。（这有别于setuid函数，它会更改所有三个用户ID）。

                                                图8-3 设置不同用户ID的各函数

3、组ID

关于用户ID所说明的一切都适用于组ID。附加组ID不受setgid、setregid或setegid函数的影响。

 

本篇博文内容摘自《UNIX环境高级编程》（第二版），仅作个人学习记录所用。关于本书可参考：http://www.apuebook.com/。