Linux Capabilities Revisited
Linux capabilities представляют собой механизм контроля доступа, который разделяет привилегии суперпользователя на отдельные единицы. В системе существует 40 таких возможностей, что позволяет более гибко управлять правами доступа, чем традиционная модель "всё или ничего". Статья демонстрирует, как злоумышленник может использовать setcap cap_setuid+ep /usr/bin/python3 для создания бэкдора, позволяющего обычному пользователю получить права root без установки бита SUID. Это особенно опасно, так как традиционные методы поиска эскалации привилегаций фокусируются на файлах с установленными битами SUID и SGID.
Для обнаружения файлов с capabilities можно использовать команду getcap -r /, а для анализа процессов — проверять /proc/[pid]/status или использовать утилиты capsh и getpcaps. Статья подчеркивает важность поиска таких файлов при проведении расследований и аудитов безопасности. Скрипты вроде LinPEAS также включают проверки capabilities при поиске путей эскалации привилегий. Для удаления capabilities с бинарного файла используется команда setcap -r.