Rust Linux能力控制库capng的使用：高效管理进程权限与安全能力

完整示例demo

以下是基于内容中提供的示例代码整合的一个完整demo，展示了capng库的主要功能：

use capng::{Capabilities, FileCapabilities, Cap};

fn main() {
    // 示例1：查询当前进程能力
    query_current_capabilities();
    
    // 示例2：修改进程能力
    modify_process_capabilities();
    
    // 示例3：管理文件能力
    manage_file_capabilities("/tmp/sample_executable");
    
    // 示例4：临时提升权限执行操作
    temporary_privilege_escalation();
    
    // 示例5：创建最小权限环境
    minimal_privilege_environment();
}

fn query_current_capabilities() {
    println!("\n=== 查询当前进程能力 ===");
    match Capabilities::get_current_process() {
        Ok(caps) => {
            println!("Effective capabilities: {:?}", caps.effective());
            println!("Permitted capabilities: {:?}", caps.permitted());
            println!("Inheritable capabilities: {:?}", caps.inheritable());
        }
        Err(e) => eprintln!("查询能力失败: {}", e),
    }
}

fn modify_process_capabilities() {
    println!("\n=== 修改进程能力 ===");
    let mut caps = Capabilities::new();
    
    // 添加网络绑定服务和修改文件所有者能力
    caps.add(Cap::NET_BIND_SERVICE);
    caps.add(Cap::CHOWN);
    
    // 应用到当前进程
    if let Err(e) = caps.apply() {
        eprintln!("应用能力失败: {}", e);
    } else {
        println!("成功添加 NET_BIND_SERVICE 和 CHOWN 能力");
    }
}

fn manage_file_capabilities(path: &str) {
    println!("\n=== 管理文件能力 ===");
    
    // 设置文件能力
    let mut file_caps = FileCapabilities::new();
    file_caps.add_effective(Cap::NET_ADMIN);
    file_caps.add_permitted(Cap::NET_ADMIN);
    
    match file_caps.write(path) {
        Ok(_) => println!("成功设置文件能力: {}", path),
        Err(e) => eprintln!("设置文件能力失败: {}", e),
    }
    
    // 读取文件能力
    match FileCapabilities::read(path) {
        Ok(caps) => println!("文件能力: {:?}", caps),
        Err(e) => eprintln!("读取文件能力失败: {}", e),
    }
}

fn temporary_privilege_escalation() {
    println!("\n=== 临时提升权限 ===");
    
    // 保存原始能力
    let original_caps = match Capabilities::get_current_process() {
        Ok(caps) => caps,
        Err(e) => {
            eprintln!("获取当前能力失败: {}", e);
            return;
        }
    };
    
    // 临时添加能力
    let mut temp_caps = original_caps.clone();
    temp_caps.add(Cap::DAC_OVERRIDE);
    
    // 应用临时能力
    if let Err(e) = temp_caps.apply() {
        eprintln!("应用临时能力失败: {}", e);
        return;
    }
    
    println!("临时拥有 DAC_OVERRIDE 能力，执行特权操作...");
    
    // 恢复原始能力
    if let Err(e) = original_caps.apply() {
        eprintln!("恢复原始能力失败: {}", e);
    } else {
        println!("成功恢复原始能力");
    }
}

fn minimal_privilege_environment() {
    println!("\n=== 创建最小权限环境 ===");
    
    let mut caps = Capabilities::new();
    caps.add(Cap::NET_BIND_SERVICE);
    
    match caps.apply() {
        Ok(_) => println!("现在进程只有 NET_BIND_SERVICE 能力"),
        Err(e) => eprintln!("创建最小权限环境失败: {}", e),
    }
}

代码说明

1. 查询当前进程能力：

   • 使用Capabilities::get_current_process()获取当前进程的能力集
   • 分别打印有效(effective)、允许(permitted)和可继承(inheritable)能力集

2. 修改进程能力：

   • 创建新的能力集并添加特定能力
   • 使用apply()方法将修改应用到当前进程

3. 管理文件能力：

   • 使用FileCapabilities操作文件的能力集
   • 可以读取和设置文件的能力

4. 临时提升权限：

   • 保存原始能力集
   • 临时添加所需能力并应用
   • 执行特权操作后恢复原始能力

5. 最小权限环境：

   • 创建只包含必要能力的新能力集
   • 应用到当前进程以实现最小权限原则

使用建议

1. 在生产环境中使用时，应该添加更完善的错误处理
2. 考虑将能力操作封装到特定模块中，集中管理权限
3. 对于需要持久化能力设置的文件，确保文件系统支持扩展属性
4. 测试时可以使用capsh工具验证能力设置是否生效

这个完整demo展示了capng库的主要功能，您可以根据实际需求调整或扩展其中的功能模块。