如何在Linux中删除补充组?

简而言之,答案是“没有CAP\u SETGID的进程不能”。确实如此 by design that setgroups can't be used to remove groups when the process has no privileges . 前面的链接指向一篇优秀的LWN文章,详细说明了为什么不这样做。

在我的特殊情况下,由于我立即创建了一个用户名称空间,这些补充组无论如何都会映射到“nobody”。所以这并不重要。如果很重要,您可以使用 setcap(8) 在包装器可执行文件上设置功能,以检查预期用户是否正在使用预期的组权限运行包装器可执行文件,然后删除组并删除CAP\u SETGID并运行真正要运行的可执行文件。要执行此操作,请使用以下命令:

sudo setcap cap_setgid+ep wrapper_exe

不过要小心,如果您编写得不太仔细,现在可能有人在您的系统上有一个shell,可以使用该可执行文件来运行某种权限提升攻击。