setgid: chmod g+s,gx 실행 파일

Question 1

글쎄, RTFM의 한 답변은 나에게 별로 도움이 되지 않습니다. 몇 시간 동안 조사한 끝에 현재 Linux 커널에서 다음 줄을 발견했습니다.

https://github.com/torvalds/linux/blob/e816c201aed5232171f8eb80b5d46ae6516683b9/fs/exec.c

/* Be careful if suid/sgid is set */
inode_lock(inode);

/* reload atomically mode/uid/gid now that lock held */
mode = inode->i_mode;
uid = inode->i_uid;
gid = inode->i_gid;
inode_unlock(inode);

/* We ignore suid/sgid if there are no mappings for them in the ns */
if (!kuid_has_mapping(bprm->cred->user_ns, uid) ||
     !kgid_has_mapping(bprm->cred->user_ns, gid))
    return;

if (mode & S_ISUID) {
    bprm->per_clear |= PER_CLEAR_ON_SETID;
    bprm->cred->euid = uid;
}

if ((mode & (S_ISGID | S_IXGRP)) == (S_ISGID | S_IXGRP)) {
    bprm->per_clear |= PER_CLEAR_ON_SETID;
    bprm->cred->egid = gid;
}

이는 의도적인 것이 분명합니다.

이는 2005년 5월 github에 원본이 업로드된 시점으로 거슬러 올라갑니다.

https://github.com/torvalds/linux/blob/3677209239ed71d2654e73eecfab1dbec2af11a9/fs/exec.c

bprm->e_uid = current->euid;
bprm->e_gid = current->egid;

if(!(bprm->file->f_vfsmnt->mnt_flags & MNT_NOSUID)) {
    /* Set-uid? */
    if (mode & S_ISUID) {
        current->personality &= ~PER_CLEAR_ON_SETID;
        bprm->e_uid = inode->i_uid;
    }

    /* Set-gid? */
    /*
     * If setgid is set but no group execute bit then this
     * is a candidate for mandatory locking, not a setgid
     * executable.
     */
    if ((mode & (S_ISGID | S_IXGRP)) == (S_ISGID | S_IXGRP)) {
        current->personality &= ~PER_CLEAR_ON_SETID;
        bprm->e_gid = inode->i_gid;
    }
}

Google에서 리뷰를 검색하면 다음과 같은 결과가 나옵니다.

https://www.kernel.org/doc/Documentation/filesystems/mandatory-locking.txt

파일을 강제 잠금으로 표시
파일이 강제 잠금 후보로 표시됩니다.파일 모드에서 그룹 ID 비트를 설정하지만 그룹 실행 비트는 제거합니다.. 이건 말도 안되는 조합이고System V 구현자에 의해 선택됨기존 사용자 프로그램이 손상되지 않도록 합니다.
커널은 일반적으로 setgid 파일에 쓸 때 group-id 비트를 자동으로 지웁니다. 이는 안전 조치입니다. 강제 잠금 후보인 특별한 경우를 인식하고 이 비트를 지우지 않도록 커널이 수정되었습니다.마찬가지로 커널은 setgid 권한으로 강제 잠금 후보를 실행하지 않도록 수정되었습니다.

그래서 대답은 "인 것 같습니다.다른 의미로 선택되었기 때문입니다."

Answer

글쎄, RTFM의 한 답변은 나에게 별로 도움이 되지 않습니다. 몇 시간 동안 조사한 끝에 현재 Linux 커널에서 다음 줄을 발견했습니다.