Процесс может воспользоваться системным вызовом seteuid() для изменения своего действующего пользовательского идентификатора (на значение, указанное в аргументе euid) и системным вызовом setegid() для изменения его действующего группового идентификатора (на значение, указанное в аргументе egid).
#include <unistd.h>
int seteuid(uid_t euid);
int setegid(gid_t egid);
Оба возвращают при успешном завершении 0, а при ошибке —1
Изменения, которые процесс может вносить в свои действующие идентификаторы с использованием seteuid() и setegid(), регулируются следующими правилами.
1. Непривилегированный процесс может изменять действующий идентификатор, присваивая ему только то значение, которое соответствует реальному или сохраненному установленному идентификатору. (Иными словами, для непривилегированного процесса функции seteuid() и setegid() произведут тот же эффект, что и функции setuid() и setgid() соответственно, за исключением ранее упомянутых вопросов портируемости на BSD-системы.)
2. Привилегированный процесс может изменять действующий идентификатор, присваивая ему любое значение. Если привилегированный процесс применяет seteuid() для изменения своего действующего пользовательского идентификатора на ненулевое значение, то он перестает быть привилегированным (но в состоянии вернуть себе полномочия в силу предыдущего правила).
Использование seteuid() является предпочтительным методом для программ с полномочиями setuid и setgid с целью временного сброса и последующего восстановления полномочий. Рассмотрим пример.
euid = geteuid(); /* Сохранение исходного действующего UID
(совпадает с установленным UID) */
if (seteuid(getuid()) == -1) /* Сброс полномочий */
errExit("seteuid");
if (seteuid(euid) == -1) /* Возвращение полномочий */
errExit("seteuid");
Изначально происходящие из BSD, функции seteuid() и setegid() теперь определены в SUSv3 и встречаются во многих реализациях UNIX.
В старых версиях библиотеки GNU C (glibc 2.0 и более ранние) выражение seteuid(euid) было реализовано в виде setreuid(–1, euid). В современных версиях glibc функция seteuid(euid) реализована в виде setresuid(–1, euid, –1). (Функции setreuid(), setresuid() и их аналоги по работе с групповыми идентификаторами будут вскоре рассмотрены.) Обе реализации позволяют нам указать в качестве euid такое же значение, которое на данный момент имеется у действующего идентификатора пользователя (то есть не требовать изменения). Но в SUSv3 такое поведение для seteuid() не определено, и получить его в некоторых реализациях UNIX невозможно. Как правило, различие в поведении разных реализаций не проявляется, так как в обычных условиях действующий идентификатор пользователя имеет то же самое значение, которое имеется либо у реального идентификатора пользователя, либо у сохраненного установленного идентификатора пользователя. (Единственный способ, позволяющий сделать в Linux действующий ID пользователя отличным как от реального ID пользователя, так и от сохраненного установленного ID пользователя, предусматривает применение нестандартного системного вызова setresuid().)
Во всех версиях glibc (включая современные) setegid(egid) реализуется в виде setregid(–1, egid). Как и в случае использования seteuid(), это означает, что мы можем указать для egid такое же значение, которое на данный момент имеется у действующего идентификатора группы, хотя такое поведение не указано в SUSv3. Это также означает, что setegid() изменяет сохраненный установленный ID группы, если для действующего ID группы установлено значение, отличное от имеющегося на данный момент у реального ID группы. (То же самое можно сказать и о более старых реализациях seteuid(), использующих setreuid().) Это поведение также не указано в SUSv3.
Изменение реальных и действующих идентификаторов
Системный вызов setreuid() позволяет вызывающему процессу независимо изменять значение его реального и действующего пользовательского идентификатора. Системный вызов setregid() выполняет аналогичную задачу для реального и действующего идентификатора группы.
#include <unistd.h>
int setreuid(uid_t ruid, uid_t euid);
int setregid(gid_t rgid, gid_t egid);
Оба при успешном завершении возвращают 0 или –1 при ошибке
Первым аргументом для каждого из этих системных вызовов является новый реальный идентификатор. Вторым аргументом является новый действующий идентификатор. Если нужно изменить только один идентификатор, для другого аргумента можно указать значение –1.