☰

Ограничения действий пользователя root с помощью бита закрепления

tag-icon • tag-icon linux ubuntu amazon-web-services ubuntu-20.04 sticky-bit
Ограничения действий пользователя root с помощью бита закрепления

У меня есть экземпляр Ubuntu 20.04.x ​​на AWS, который продемонстрировал весьма неожиданное поведение.

У меня есть файл в /tmp:

root@ip-10-0-1-145:/tmp# ls -l api_requests_2023-08-23.log
-rw-r--r-- 1 www-data www-data 47450 Aug 23 19:04 api_requests_2023-08-23.log

Я попытался его обрезать, так rootкак FAILED!!!

root@ip-10-0-1-145:/tmp# truncate -s 0 api_requests_2023-08-23.log
truncate: cannot open 'api_requests_2023-08-23.log' for writing: Permission denied

Я попробовал strace, чтобы проверить, где произошел сбой, и получил следующее:

root@ip-10-0-1-145:/tmp# strace -e trace=file truncate -s 0 api_requests_2023-08-23.log
execve("/usr/bin/truncate", ["truncate", "-s", "0", "api_requests_2023-08-23.log"], 0x7ffcaa0ab958 /* 16 vars */) = 0
...
openat(AT_FDCWD, "api_requests_2023-08-23.log", O_WRONLY|O_CREAT|O_NONBLOCK, 0666) = -1 EACCES (Permission denied)
...
truncate: cannot open 'api_requests_2023-08-23.log' for writing: Permission denied
...
+++ exited with 1 +++

Учитывая, что у temp липкий бит установлен как обычно:

root@ip-10-0-1-145:/tmp# ls -ld
drwxrwxrwt 4 root root 12288 Sep 12 09:11 .

Я попытался обрезать файл, используя его владельца:

root@ip-10-0-1-145:/tmp# sudo -u www-data truncate -s 0 api_requests_2023-08-23.log
root@ip-10-0-1-145:/tmp# ls -lh api_requests_2023-08-23.log
-rw-r--r-- 1 www-data www-data 0 Sep 12 09:13 api_requests_2023-08-23.log

Владелец truncateсработал!!! (так что это не вызвано проблемами файловой системы; файловая система локальная, на диске, ext4, смонтирована с настройками по умолчанию).

Такое поведение для липкого бита в каталогахопределенныйкак **'only owner or root'** для всех операций.

Как было rootограничено открытие файла для записи (попытка открыть файл через Trucation >api_requests_2023-08-23.logтакже не удалась)?

Связанный контент