authbind - Online na nuvem

PROGRAMA:

NOME

authbind - liga sockets a portas privilegiadas sem root

SINOPSE

ligação automática [opções] programa [argumento ...]

DESCRIÇÃO

ligação automática permite que um programa que não executa ou não deve ser executado como root se ligue a um sistema de número baixo
portas de forma controlada.

Você deve invocar o programa usando ligação automática. ligação automática irá configurar algum ambiente
variáveis, incluindo um LD_PRELOAD, o que permitirá que o programa (incluindo qualquer
subprocessos que podem ser executados) para vincular a portas de número baixo (<512) se o sistema estiver configurado
para permitir isso.

OPÇÕES

--profundo Normalmente, ligação automática organiza apenas o programa que ele invoca diretamente para ser
afetado por sua versão especial de vincular(2) Se você especificar --profundo então tudo
programas que esse programa invoca direta ou indiretamente serão afetados, então
contanto que eles não desconfigurem as variáveis ​​de ambiente configuradas por ligação automática.

--profundidade níveis
destaque ligação automática para afetar programas que são níveis profundamente no gráfico de chamada. o
padrão é --profundidade 1.

ACESSO CONTROLE

O acesso a portas de baixo número é controlado por permissões e conteúdos de arquivos em um
área de configuração, / etc / authbind.

Em primeiro lugar, / etc / authbind / byport /porta é testado. Se este arquivo estiver acessível para execução para
o usuário que está ligando, de acordo com Acesso(2), então a vinculação à porta é autorizada. Se o
pode ser visto que o arquivo não existe (a verificação de existência retorna ENOENTE), em seguida, outros testes irão
ser usado para encontrar autorização; caso contrário, a vinculação não é autorizada, e o vincular chamada
vai voltar com o erro valor do Acesso(2) ligar, normalmente ACESSO (Permissão
negado).

Em segundo lugar, se esse teste não resolver o problema, / etc / authbind / byaddr /addr,porta (qualquer
protocolo) ou falhando nisso / etc / authbind / byaddr /addr:porta (Apenas IPv4) é testado, no
da mesma maneira que acima. Aqui addr é a partir de inet_ntop e porta é o (local) TCP ou UDP
número da porta, expresso como um inteiro sem sinal no número mínimo de dígitos diferente de zero.

Em terceiro lugar, apenas para IPv6: uma vez que a representação textual de inet_ntop é complicado para
prever, uma variante de addr também é testado, o qual não usa os dois pontos duplos
abreviação: cada bloco de 16 bytes expresso no número mínimo diferente de zero de dígitos hexadecimais
(ou seja, com os zeros à esquerda removidos), os pedaços sendo separados por dois pontos como estão
convencional.

Em quarto lugar, se a questão ainda não foi resolvida, o arquivo / etc / authbind / byuid /uid será
aberto e lido. Se o arquivo não existir, a vinculação não será autorizada e vincular
retornará EPERMA (Divisão de não permitidoou Não proprietário) Se o arquivo existir, ele irá
ser pesquisado por uma linha do formulário
admin[-endereço máximo],portomin[-portamax]
addr[/comprimento],portomin[-portamax]
endereço4/comprimento:portomin,portamax
correspondendo ao pedido. O primeiro formulário requer que o endereço esteja na faixa relevante
(inclusive em ambas as extremidades). A segunda e a terceira formas exigem que a inicial comprimento pedaços
of addr coincidir com aqueles na proposta vincular ligar. O terceiro formulário está disponível apenas para IPv4
já que os endereços IPv6 contêm dois pontos. Os endereços no arquivo byuid podem estar em qualquer formato
aceitável para inet_pton. Em todos os casos, o número da porta proposta deve estar no
intervalo inclusivo especificado. Se tal linha for encontrada, a vinculação é autorizada.
Caso contrário, não é, e vincular vai falhar com ENOENTE (Não tal lima or anuário).

Se ocorrer um erro de leitura, ou o diretório / etc / authbind não pode ser acessado, então não só
precisarão vincular falhar, mas uma mensagem de erro será impressa em stderr. Linhas não reconhecidas em
/ etc / authbind / byuid /uid os arquivos são silenciosamente ignorados, assim como as linhas cujos addr tem diferente de zero
bits mais do que comprimento do topo ou onde algum minutos é maior que max.

EXEMPLO

Então, por exemplo, uma tentativa do uid 432 de se ligar à porta 80 do endereço
[2620: 106: e002: f00f :: 21] resultaria na chamada authbind Acesso(2) em, em ordem,
/ etc / authbind / byport / 80
/etc/authbind/byaddr/2620:106:e002:f00f::21,80
/etc/authbind/byaddr/2620:106:e002:f00f:0:0:0:21,80
Se nenhum desses arquivos existir, authbind lerá
/ etc / authbind / byuid / 432
e procure uma linha para permitir o acesso relevante; exemplos de linhas que fariam isso
são:
2620:106:e002:f00f::21,80
:: / 0,80

PORTOS 512-1023

Não é recomendado autorizar vinculação a portas de 512 a 1023 inclusive. Algum
protocolos (incluindo algumas versões do NFS) autorizam os clientes ao ver que eles estão usando
um número de porta neste intervalo. Então, ao autorizar um programa a ser um servidor para tal porta,
você também o está autorizando a personificar o host inteiro para esses protocolos.

Para garantir que isso não seja feito por acidente, se o número da porta solicitado estiver no
intervalo 512-1023, authbind espera que os arquivos de permissão tenham um adicional ! no
início de seu nome de folha.

MECANISMO

A biblioteca compartilhada carregada usando LD_PRELOAD substitui o vincular(2) chamada de sistema. Quando um
programa invocado via ligação automática chamadas vincular para ligar um soquete a uma porta TCP / IP de número baixo,
e se o programa ainda não tiver um uid efetivo de 0, a versão do vincular
suposto por ligação automática bifurca e executa um programa auxiliar setuid-root. Para não TCP / IP
sockets, portas com numeração alta ou programas que já são root, ligação automática passa a chamada
para o original vincular(2) chamada de sistema, que é encontrada usando dlsym(3) com a alça
RTLD_NEXT.

ERRO MANIPULAÇÃO

Normalmente, os mecanismos normais de tratamento de erros C se aplicam. Se ligação automática não consigo encontrar o programa
ele foi solicitado a executá-lo imprimirá uma mensagem para stderr e sairá com o código 255.

O programa auxiliar geralmente reporta de volta à biblioteca compartilhada com um status de saída
contendo um erro valor que codifica se o vincular foi permitido e bem sucedido.
Isso será devolvido ao programa de chamada da maneira usual.

No caso de configuração aparente ou outros erros graves, a biblioteca e / ou o
programa auxiliar pode fazer com que as mensagens sejam impressas no stderr do programa, bem como
retornando -1 de vincular.

Use authbind online usando serviços onworks.net