使用学徒盔甲/grsec获得文件功能

Question

我知道，使用设备可以减少处理能力(7)。但是否有可能获得它们呢？

例如：ping需要CAP_NET_RAW。它的二进制文件没有suid设置，也没有任何文件功能。是否有可能在不触及二进制本身的情况下将CAP_NET_RAW交给它？(例如，通过创建设备规则)

Grsecurity似乎也有RBAC系统，所以也许它是一种选择？

Answer 1

不，这不可能。

除了标准的Linux权限检查之外，AppArmor还可以工作，而不是代替。它不能授予程序已经没有的任何特权。