文章目录

- 1. 权限模型演进背景
- 2. Capability核心原理
- - 2.1 能力单元分类
  - 2.2 进程三集合
  - 2.3 文件系统属性
- 3. 完整能力单元表
- 4. 高级应用场景
- - 4.1 能力边界控制
  - 4.2 编程控制
  - 4.3 容器安全
- 5. 安全实践建议
- 6. 潜在风险提示

1. 权限模型演进背景

在传统UNIX权限模型中，采用二进制特权划分（普通用户 vs root用户）存在显著缺陷：

权限颗粒度过粗
特权程序攻击面过大
特权继承难以控制

Linux Capability机制应运而生（始于2.2内核），实现：

特权操作的细粒度划分
动态权限分配与控制
最小特权原则实施

2. Capability核心原理

2.1 能力单元分类

将root特权分解为独立能力单元，每个单元对应特定操作权限（当前内核6.x共41项）

2.2 进程三集合

集合类型	作用描述	特性
Permitted	能力允许的最大集合	静态上限，不可自增
Effective	当前实际生效的能力	运行时动态切换
Inheritable	可被子进程继承的能力	影响exec执行时的能力转移

2.3 文件系统属性

通过扩展属性存储执行时的能力分配策略：

setuid程序特权执行时的能力赋值规则
二进制文件的能力白名单定义

3. 完整能力单元表

能力名称	内核版本	权限描述
CAP_AUDIT_CONTROL	2.6.11+	配置审计子系统
CAP_AUDIT_READ	3.16+	读取审计日志（RAW/非翻译格式）
CAP_AUDIT_WRITE	2.6.11+	生成审计日志记录
CAP_BLOCK_SUSPEND	3.5+	阻止系统挂起（epoll系统调用）
CAP_BPF	5.8+	管理BPF程序和映射
CAP_CHECKPOINT_RESTORE	5.9+	内核checkpoint/restore操作
CAP_CHOWN	2.2+	任意文件属主修改
CAP_DAC_OVERRIDE	2.2+	绕过文件读、写、执行权限检查
CAP_DAC_READ_SEARCH	2.2+	绕过目录读/搜索权限检查
CAP_FOWNER	2.2+	忽略文件属主检查（如chmod操作）
CAP_FSETID	2.2+	设置setuid/setgid时保留位
CAP_IPC_LOCK	2.2+	锁定内存（mlock/mlockall）
CAP_IPC_OWNER	2.2+	绕过IPC所有权检查
CAP_KILL	2.2+	绕过信号发送权限检查
CAP_LEASE	2.4+	建立文件租约（fcntl F_SETLEASE）
CAP_LINUX_IMMUTABLE	2.2+	设置FS_IMMUTABLE和FS_APPEND_FL属性
CAP_MAC_ADMIN	2.6.25+	配置MAC策略（SELinux/SMACK等）
CAP_MAC_OVERRIDE	2.6.25+	覆盖强制访问控制（MAC）
CAP_MKNOD	2.4+	创建设备特殊文件（mknod）
CAP_NET_ADMIN	2.2+	网络配置（接口、防火墙、QoS等）
CAP_NET_BIND_SERVICE	2.2+	绑定低端口（<1024）
CAP_NET_BROADCAST	2.2+	网络广播、组播操作
CAP_NET_RAW	2.2+	RAW/PACKET套接字操作
CAP_PERFMON	5.8+	系统性能监控与观察
CAP_SYS_ADMIN	2.2+	系统管理操作（挂载、ns操作、swapon等）
CAP_SYS_BOOT	2.2+	触发系统重启（reboot）
CAP_SYS_CHROOT	2.2+	使用chroot()系统调用
CAP_SYS_MODULE	2.2+	加载/卸载内核模块
CAP_SYS_NICE	2.2+	提升进程nice值，修改调度策略
CAP_SYS_PACCT	2.4+	配置进程记账（acct）
CAP_SYS_PTRACE	2.4+	ptrace调试任意进程
CAP_SYS_RAWIO	2.2+	直接端口访问（ioperm/iopl）和内存操作
CAP_SYS_RESOURCE	2.2+	覆盖资源限制（如Disk quota）
CAP_SYS_TIME	2.2+	修改系统时钟/硬件时钟
CAP_SYS_TTY_CONFIG	2.6.4+	虚拟终端配置（vhangup）
CAP_SYSLOG	2.6.37+	特权syslog操作（kernel printk速率限制等）
CAP_WAKE_ALARM	3.11+	设置唤醒定时器（RTC唤醒）

注：统计截至Linux 6.4内核版本，能力定义位于include/uapi/linux/capability.h

4. 高级应用场景

4.1 能力边界控制

# 授予Nginx绑定低端口特权
setcap 'cap_net_bind_service=+ep' /usr/sbin/nginx# 查看二进制文件能力
getcap /usr/sbin/nginx

4.2 编程控制

#include <sys/capability.h>
// 动态放弃能力
cap_t caps = cap_get_proc();
cap_clear_flag(caps, CAP_EFFECTIVE);
cap_set_flag(caps, CAP_PERMITTED, CAP_NET_RAW, CAP_CLEAR);
cap_set_proc(caps);
cap_free(caps);

4.3 容器安全

# 仅允许容器修改系统时间
docker run --cap-drop ALL --cap-add SYS_TIME -it alpine

5. 安全实践建议

最小权限原则
仅授予必要的能力集，通过 capsh --drop=XXX 启动进程
文件能力审查
定期使用 getcap -r / 检查全盘文件能力设置
运行时监控
结合 /proc/[pid]/status 中的CapEff/CapPrm/CapInh字段监控进程能力
命名空间隔离
结合user/network/mount等namespace限制能力作用域
审计系统集成
监控 CAP_AUDIT_* 相关能力的异常使用