0、前言 本文不介绍各个 Cap 集的含义，只列举它们各自发生变化的场景和方式。 只讨论 Linux 2.6.33 之后的场景，即：1、Bounding Set 为 per-thread 属性；2、支持文件 Cap。 1、线程自行调整 相较于 DAC 和 MAC，Capabilities 的一个特点是可在运行时动态增减。程序的代码中可带有调整 Cap 的相关系统调用和逻辑，在执行时根据需要主动调整线程的 Cap。例如，在执行某些需要特权的操作前将（Permitted Set 范围内）必要的 Cap 添加至 Effective Set 中，在执行完毕后再将这些 Cap 从 Effective Set 中去除。这种会主动调整 Cap 的 …

Canary 一词意为金丝雀，相传以前矿工们会携之下矿井，一旦金丝雀死亡则说明矿井中存在瓦斯泄露的情况。而 Stack Canary 的作用也类似：每开辟一个新栈帧时，先在毗邻上一栈帧处设置一个特定值，然后在每次函数返回时检查一下该值是否被改变；如被改变，则说明栈被越界写所破坏。 用户态程序 上面提到的关于 Canary 值的设置、校验，以及出错后的处理，这些动作的代码逻辑都是由编译器负责生成并嵌入到可执行文件中的。用户需要做，或者说可以做的事情只有： 需要添加 -fstack-protector/-fstack-protector-strong 编译参数。 可以在代码中定义 __stack_chk_guard 全局变量， …

前言 NetBSD 的 mmap(2) 手册 讲解 prot 入参的部分提到： Note that, due to hardware limitations, on some platforms PROT_WRITE may imply PROT_READ, and PROT_READ may imply PROT_EXEC. Portable programs should not rely on these flags being separately enforceable. 我们熟知的“权限分为 rwx，各用一个 bit 表示”只是一种理想的模型，实际硬件上不一定是这么实现的。 问题背景 ARMv8.1 …

需求：针对某个设备文件，阻止除特定进程以外的进程写入。 拿 /dev/tty20 做试验。实验环境：Fedora 38，x64 虚拟机。 给设备打标签，阻止普通写 创建 .te 策略文件之最最基础版： 1policy_module(tty20, 1.0.0) 2 3type tty20_t; 构建并加载策略模块： 1make -f /usr/share/selinux/devel/Makefile 2semodule -i tty20.pp 这里参考了这篇问答 。 尝试变更 /dev/tty20 的标签： 1chcon -t tty20_t /dev/tty20 大概率会因为缺少必要的权限而报错。 查看最近 AVC 类型的审计日志： …

代码所在地 功能代码 arch/arm64/kernel/pointer_auth.c arch/arm64/include/asm/pointer_auth.h arch/arm64/include/asm/asm_pointer_auth.h（这个容易漏掉！） 测试代码 tools/testing/selftests/arm64/pauth/*，用户态测试 TEST(corrupt_pac)：测试篡改带 PAC 的 LR 是否会导致验签失败从而令用户态进程收到信号 TEST(pac_instructions_not_nop{,_generic})：测试 pac* …