s

up jest małą i bezpieczną aplikacją napisaną w języku C. Przeznaczony do ułatwienia przekraczania uprawnień użytkowników przez uruchamianie niektórych programów jako administrator (root – z bitem suid). Wszystkie ustawienia dla programu sup są na sztywno wprowadzane w kodzie podczas kompilacji. Jego autor twierdzi, że jest wysoce przenośny oraz samowystarczalny (w środowiskach produkcyjnych może zostać użyty jako statyczny plik binarny – wymaga wówczas biblioteki musl-libc). Można powiedzieć, że stanowi alternatywę dla sudo w wbudowanych i skonteryzowanych systemach.

Przykład: przyznajemy użytkownikowi agresor (uid & gid: 1000) uprawnienia do wykonywania programów: ls, cat z prawami administratora. Przed tym faktem tworzymy sumy kontrolne owych narzędzi, aby upewnić się, że to one będą uruchamiane przez sup:

root@darkstar:~# sha256sum /bin/ls
08ac13b08bfe4407e0f0c2e12e7f5b1b5e77eb817349a5ea1d836e83cd5acb13  /bin/ls
root@darkstar:~# sha256sum /bin/cat
e71365b0e1eef8852f4466cfa41b05aea825727a262aa0fd443a0d351ce5f535  /bin/cat

Ściągamy stabilną wersję i konfigurujemy ją poprzez edycję pliku config.def.h:

#define USER 1000
#define GROUP 1000
{ USER, GROUP, "ls", "/bin/ls", "08ac13b08b...b1b5e77eb817349a5ea1d836e83cd5acb13" },
{ USER, GROUP, "cat", "/bin/cat", "e71365b0e1...aea825727a262aa0fd443a0d351ce5f535" },

Po kompilacji i instalacji: make; make install (do celów demonstracji wersja dynamicznie linkowana) poleceniem: sup -l możemy sprawdzić, jaki użytkownik jest uprawniony do jakich poleceń:

User	UID	GID	Command		Forced PATH
agresor	1000	1000	ls	/bin/ls
sha256: 08ac13b08bfe4407e0f0c2e12e7f5b1b5e77eb817349a5ea1d836e83cd5acb13

agresor	1000	1000	cat	/bin/cat
sha256: e71365b0e1eef8852f4466cfa41b05aea825727a262aa0fd443a0d351ce5f535

Od strony uprawnionego użytkownika polecenia wydaje się identycznie, jak w przypadku sudo: sup cat /etc/shadow.

Więcej informacji: SUP