trăn không có đặc quyền ICMP

Question

Trong khi cố gắng tìm ra phương pháp tốt nhất để ping (ICMP) một cái gì đó từ trăn, tôi tình cờ gặp những câu hỏi này:

• How can I perform a ping or traceroute in python, accessing the output as it is produced?
• ping a site in python
• How can I perform a ping or traceroute using native python?

Các câu trả lời thường đun sôi xuống để "sử dụng mô-đun bên thứ ba này với quyền root" hoặc "sử dụng lệnh ping của hệ thống và phân tích đầu ra". Trong số các phương thức gốc, icmplib và M. Cowles and J. Diemer's ping.py đề cập rõ ràng nhu cầu về các đặc quyền gốc, cũng như scapymanual.

Vì vậy, từ mặt trước đó, việc gửi ping ICMP nguyên bản mà không có đặc quyền đặc biệt có vẻ là không thể. Lệnh ping hệ thống không quản lý bằng cách nào đó, nhưng trang người dùng của nó không làm sáng tỏ cách thực hiện. Các man page for icmp, mặt khác, dường như để nói nó có thể:

 
Non-privileged ICMP 
    ICMP sockets can be opened with the SOCK_DGRAM socket type without 
    requiring root privileges. The synopsis is the following: 

    socket(AF_INET, SOCK_DGRAM, IPPROTO_ICMP) 

    Datagram oriented ICMP sockets offer a subset of the functionality avail- 
    able to raw ICMP sockets. Only IMCP request messages of the following 
    types can be sent: ICMP_ECHO, ICMP_TSTAMP or ICMP_MASKREQ.

Vì vậy, nó sẽ có vẻ rằng, ít nhất là theo icmp, nó cho phép. Vậy tại sao tất cả các công cụ python lại không thể thực hiện được điều này? Là các công cụ python quá chung chung và mong đợi bất kỳ công việc trên ổ cắm đặc quyền để được đặc quyền? Nó sẽ có thể viết một chức năng ping trong C có thể ping mà không có quyền root, và mở rộng python với điều này? Có ai đã làm điều này không? Tôi vừa hiểu nhầm vấn đề chưa?

Answer 1

Chương trình ping được cài đặt root setuid. Điều này cho phép bất kỳ người dùng nào sử dụng chương trình và vẫn có thể mở một ổ cắm thô.

Sau khi mở ổ cắm thô, thông thường nó sẽ làm giảm các máy chủ riêng.

Bạn thường cần một ổ cắm thô để thực hiện chính xác ICMP và ổ cắm thô thường bị hạn chế. Vì vậy, nó không thực sự là lỗi của python cả.

Về bit về ICMP ở trên, dường như nhiều triển khai thực sự không thực sự hỗ trợ các kết hợp cờ đó tốt. Vì vậy, có khả năng hầu hết các implmentations chỉ sử dụng cách mà chúng "biết" hoạt động trên hầu hết/tất cả các kiến ​​trúc.

Answer 2

Sau đây là cách/sbin/ping "bằng cách nào đó quản lý" (trên hầu hết các hệ thống Unix-y):

$ ls -l /sbin/ping 
-r-sr-xr-x 1 root wheel 68448 Jan 26 10:00 /sbin/ping 

Thấy không? Nó thuộc sở hữu của root và có bit quan trọng s trong quyền - setuserid. Vì vậy, bất kể người dùng nào đang chạy nó, hãy ping chạy dưới dạng gốc.

Nếu bạn đang sử dụng hạt nhân BSD với "ổ cắm ICMP không có đặc quyền" mới, bạn sẽ thấy thú vị khi sử dụng chức năng đó để ping từ Python (nhưng điều đó sẽ không giúp bất kỳ người dùng nào hạt nhân ít nâng cao, tất nhiên).

Answer 3

Tôi không chắc liệu có thể đăng nội dung nào đó trong câu hỏi có vẻ như nó đã được trả lời cách đây không lâu.

Tôi đã tìm kiếm cách triển khai tương tự và tìm cách làm ICMP qua Python với các đặc quyền không phải root.

python-ping sử dụng cùng một 'cần-root' cách để làm một ping, nhưng tình cờ đọc một báo cáo lỗi mà người dùng đề nghị thay đổi SOCK_RAW để SOCK_DGRAM khi gọi sock:

http://hg.io/delroth/python-ping/issue/1/icmp-without-root-privilege

Các dev giải thích điều này sẽ là một tình huống "WONT-FIX" vì nó là một ping UDP.

Vì tôi thực sự không quan tâm nếu ICMP thực hiện qua UDP, tôi đã tiếp tục và nhận mã và thực hiện đề xuất đã thay đổi.

Tôi hiện có thể thực hiện lệnh ping mà không cần gọi tiến trình con hoặc cần root!

Một lần nữa, không chắc chắn nếu đăng bài ở đây sau một thời gian dài như vậy là OK, nhưng nghĩ rằng đây là một điều tốt hơn!

Answer 4

Tôi cũng đang tìm cách triển khai ping mà không cần sử dụng tiến trình con hoặc cần root để ping. Giải pháp của tôi cần phải là nền tảng chéo, cụ thể là Windows và Linux.

Thay đổi socket trên Windows thành SOCK_DGRAM dẫn đến ngoại lệ "giao thức không được hỗ trợ 100043". Vì vậy, có vẻ như Windows kiểm tra chính xác để xem nếu icmp đang được gửi ra trên TCP chứ không phải là UDP. Tuy nhiên, các cửa sổ không quan tâm nếu nó đang chạy như là "root" vì đó là một khái niệm Linux.

if os.name == 'nt': 
    #no root on windows 
    my_socket = socket.socket(socket.AF_INET, socket.SOCK_RAW, icmp) 
else: 
    #changed to UDP socket...gets around ROOT priv issue 
    my_socket = socket.socket(socket.AF_INET, socket.SOCK_DGRAM, icmp) 

Answer 5

Trên thực tế, trên Windows 7 và Vista, bạn cần phải 'Run as Administrator' để làm:

my_socket = socket.socket(socket.AF_INET, socket.SOCK_RAW, icmp) 

và như bạn lưu ý, thực hiện nó trên một ổ cắm datagram gây ra một lỗi.

Answer 6

Tôi đang chạy python dưới cửa sổ 7, Kể từ khi tôi đang chỉnh sửa và "biên soạn" mã dưới Eclipse Plugin PyDev, Giải pháp của tôi là: Chạy eclipse.exe như một quản trị viên: này đã giải quyết được vấn đề,

Giải pháp này tương tự như chạy cmd với tư cách quản trị viên.

Answer 7

Trang người dùng bạn đang đọc nói về "BSD Kernel Interfaces Manual" và dường như đến từ "Mac OS X 10.9". Tôi không có một máy Mac OS X để cố gắng, nhưng trong Linux, như là người chủ hoặc là người dùng tôi nhận được một lỗi cho phép từ chối khi tôi cố gắng để mở như một ICMP:

$ strace -e trace=socket python 
Python 2.7.5+ (default, Sep 19 2013, 13:48:49) 
[GCC 4.8.1] on linux2 
Type "help", "copyright", "credits" or "license" for more information. 
>>> import socket 
>>> socket.socket(socket.AF_INET, socket.SOCK_DGRAM, socket.IPPROTO_ICMP) 
socket(PF_INET, SOCK_DGRAM, IPPROTO_ICMP) = -1 EACCES (Permission denied) 
Traceback (most recent call last): 
    File "<stdin>", line 1, in <module> 
    File "/usr/lib/python2.7/socket.py", line 187, in __init__ 
    _sock = _realsocket(family, type, proto) 
socket.error: [Errno 13] Permission denied 

Dưới OpenBSD tôi nhận được một "Nghị định thư không được hỗ trợ" lỗi:

>>> import socket 
>>> socket.socket(socket.AF_INET, socket.SOCK_DGRAM, socket.IPPROTO_ICMP) 
Traceback (most recent call last): 
    File "<stdin>", line 1, in <module> 
    File "/usr/local/lib/python2.7/socket.py", line 187, in __init__ 
    _sock = _realsocket(family, type, proto) 
socket.error: [Errno 43] Protocol not supported 

có thể ai đó có thể thử dưới hệ điều hành MacOS X hoặc BSDs khác, nhưng dù sao loại ổ cắm này không giống như di động, để nói rằng ít nhất!

Answer 8

Ping Linux hiện đại sử dụng libcap và yêu cầu libcap thực hiện công việc.kiểm tra này (capget/bộ funcitons) và quản lý quyền:

linux@jacax:~/WORK$ ldd /bin/ping 
    linux-gate.so.1 => (0xb77b6000) 
    libcap.so.2 => /lib/i386-linux-gnu/libcap.so.2 (0xb7796000) 
    libc.so.6 => /lib/i386-linux-gnu/libc.so.6 (0xb75e7000) 
    /lib/ld-linux.so.2 (0xb77b7000) 

phép nói rằng bạn có một "myping" chương trình:

linux@jacax:~/WORK$ getcap ./myping  
linux@jacax:~/WORK$ (-> nothing!) 
linux@jacax:~/WORK$ setcap cap_net_raw=ep ./myping 
unable to set CAP_SETFCAP effective capability: Operation not permitted 
linux@jacax:~/WORK$ sudo setcap cap_net_raw=ep ./myping 

Bây giờ làm:

linux@jacax:~/WORK$ getcap ./myping 
./ping = cap_net_raw+ep 

Bây giờ, bạn " myping "sẽ hoạt động mà không cần root. Tức là, miễn là myping thực ra là một chương trình nhị phân. Nếu đó là một tập lệnh, khả năng này phải được đặt trên trình thông dịch kịch bản lệnh thay thế.