authbind - クラウドでオンライン

プログラム：

NAME

authbind - root なしでソケットを特権ポートにバインドします

SYNOPSIS

認証バインド [オプション] プログラム [引数 ...]

DESCRIPTION

認証バインド ルートとして実行しない、または実行すべきではないプログラムが、低番号にバインドできるようにします
制御された方法でポート。

を使用してプログラムを呼び出す必要があります。 認証バインド. 認証バインド いくつかの環境をセットアップします
を含む変数 LD_PRELOAD、これにより、プログラムが許可されます (任意の
システムが構成されている場合は、番号の小さい (512 未満) ポートにバインドします。
これを可能にします。

OPTIONS

- 深い 通常は、 認証バインド 直接呼び出すプログラムのみを
その特別なバージョンの影響を受ける バインド(2)。 指定すれば - 深い それから全部
そのプログラムが直接的または間接的に呼び出すプログラムが影響を受けるため、
によって設定された環境変数の設定が解除されない限り、 認証バインド.

- 深さ レベル
目的 認証バインド プログラムに影響を与える レベル 呼び出しグラフの奥深く。 の
デフォルトは - 深さ 1.

ACCESS CONTROL

番号の小さいポートへのアクセスは、パーミッションとファイルの内容によって制御されます。
構成エリア、 /etc/authbind.

まず、 /etc/authbind/byport/ポート テストされます。 このファイルが実行のためにアクセスできる場合
によると、呼び出し元のユーザー アクセス(2) その後、ポートへのバインディングが許可されます。 もし
ファイルが存在しないことがわかります (存在チェックは戻ります エノエント) その後、さらにテストが行​​われます
承認を見つけるために使用されます。 そうでない場合、バインディングは許可されず、 バインド コール
で戻ります エラー からの値 アクセス(2) コール、通常 アクセス (許可
否定された).

次に、そのテストで問題が解決しない場合は、 /etc/authbind/byaddr/addr,ポート （どれか
プロトコル) またはそれに失敗する /etc/authbind/byaddr/addr:ポート (IPv4 のみ) がテストされています。
上記と同じ方法。 ここ addr からのようです inet_ntop, ポート （ローカル）TCPまたはUDPです
ポート番号。ゼロ以外の最小桁数の符号なし整数として表されます。

第三に、IPv6 のみ: からのテキスト表現から inet_ntop 複雑です
予測、のバリアント addr 二重コロンを使用しないものもテストされます
略語: 各 16 バイトのチャンクは、ゼロ以外の最小数の XNUMX 進数で表されます
(つまり、先頭のゼロが削除された状態)、チャンクはそのままコロンで区切られています
従来型。

第 XNUMX に、問題がまだ解決されていない場合は、ファイル /etc/authbind/byuid/UID なります
開いて読んだ。 ファイルが存在しない場合、バインディングは許可されておらず、 バインド
戻ります エペルム (操作 許可または もしアカウントが違う場合： 所有者）。 ファイルが存在する場合は、
フォームの行を検索する
管理者[-アドマックス],ポートミン[-ポートマックス]
addr[/長さ],ポートミン[-ポートマックス]
アドレス4/長さ:ポートミン,ポートマックス
リクエストにマッチ。 最初の形式では、アドレスが関連する範囲内にある必要があります
(両端を含む)。 XNUMX 番目と XNUMX 番目の形式では、最初の 長さ ビット
of addr 提案されたものと一致する バインド 電話。 4 番目の形式は IPvXNUMX でのみ使用できます
IPv6 アドレスにはコロンが含まれているためです。 byuid ファイル内のアドレスは任意の形式にすることができます
inet_pton に受け入れられます。 すべての場合において、提案されたポート番号は
包含範囲が指定されています。 そのような行が見つかった場合、バインディングは承認されます。
そうでなければそうではなく、 バインド で失敗します エノエント (いいえ そのような file or ディレクトリにジョブを開始します。).

読み取りエラーが発生した場合、またはディレクトリ /etc/authbind アクセスできないだけでなく、
意志 バインド 失敗しますが、エラー メッセージが stderr に出力されます。 の認識されない行
/etc/authbind/byuid/UID ファイルは黙って無視されます。 addr ゼロ以外
ビット以上 長さ 上またはどこかから 分 より大きい マックス.

実施例

たとえば、アドレスのポート 432 にバインドする uid 80 による試み
[2620:106:e002:f00f::21] は authbind 呼び出しになります アクセス(2) 順番に、
/etc/authbind/byport/80
/etc/authbind/byaddr/2620:106:e002:f00f::21,80
/etc/authbind/byaddr/2620:106:e002:f00f:0:0:0:21,80
これらのファイルが存在しない場合、authbind は読み取ります。
/etc/authbind/byuid/432
関連するアクセスを許可する行を検索します。 そうする行の例
には次の値があります:
2620:106:e002:f00f::21,80
::/0,80

ポート 512-1023

512 から 1023 までのポートへのバインドを許可することはお勧めしません。 いくつか
プロトコル (NFS の一部のバージョンを含む) は、クライアントが使用していることを確認してクライアントを承認します。
この範囲のポート番号。 そのため、プログラムがそのようなポートのサーバーになることを許可することで、
また、これらのプロトコルのホスト全体を偽装することを承認しています。

要求されたポート番号が
範囲が 512 ～ 1023 の場合、authbind は許可ファイルに追加の !
葉名の始まり。

機構

を使用してロードされた共有ライブラリ LD_PRELOAD をオーバーライドします バインド(2) システムコール。 とき
経由で呼び出されるプログラム 認証バインド 呼び出し バインド ソケットを番号の小さい TCP/IP ポートにバインドするには、
プログラムの有効な uid が 0 でない場合は、 バインド
によって仮定された 認証バインド setuid-root ヘルパー プログラムをフォークして実行します。 非 TCP/IP の場合
ソケット、番号の大きいポート、またはすでにルートになっているプログラム、 認証バインド 電話に出る
元に バインド(2) システムコール。 dlsym(3)ハンドル付き
RTLD_NEXT.

ERROR 取り扱い

通常、通常の C エラー処理メカニズムが適用されます。 もしも 認証バインド プログラムが見つかりません
実行を要求された場合、stderr にメッセージを出力し、コード 255 で終了します。

ヘルパー プログラムは通常、共有ライブラリに終了ステータスを報告します。
を含む エラー かどうかをエンコードする値 バインド 許可され、成功しました。
これは、通常の方法で呼び出しプログラムに返されます。

明らかな構成エラーまたはその他の重大なエラーの場合、ライブラリおよび/または
ヘルパー プログラムにより、メッセージがプログラムの stderr に出力される可能性があります。
-1 を返す バインド.

onworks.net サービスを使用してオンラインで authbind を使用する