1221431Sjonathan/*- 2221431Sjonathan * Copyright (c) 2008-2009 Robert N. M. Watson 3224651Sjonathan * Copyright (c) 2011 Jonathan Anderson 4221431Sjonathan * All rights reserved. 5221431Sjonathan * 6221431Sjonathan * Redistribution and use in source and binary forms, with or without 7221431Sjonathan * modification, are permitted provided that the following conditions 8221431Sjonathan * are met: 9221431Sjonathan * 1. Redistributions of source code must retain the above copyright 10221431Sjonathan * notice, this list of conditions and the following disclaimer. 11221431Sjonathan * 2. Redistributions in binary form must reproduce the above copyright 12221431Sjonathan * notice, this list of conditions and the following disclaimer in the 13221431Sjonathan * documentation and/or other materials provided with the distribution. 14221431Sjonathan * 15221431Sjonathan * THIS SOFTWARE IS PROVIDED BY THE AUTHOR AND CONTRIBUTORS ``AS IS'' AND 16221431Sjonathan * ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE 17221431Sjonathan * IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE 18221431Sjonathan * ARE DISCLAIMED. IN NO EVENT SHALL THE AUTHOR OR CONTRIBUTORS BE LIABLE 19221431Sjonathan * FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL 20221431Sjonathan * DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS 21221431Sjonathan * OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION) 22221431Sjonathan * HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT 23221431Sjonathan * LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY 24221431Sjonathan * OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF 25221431Sjonathan * SUCH DAMAGE. 26221431Sjonathan * 27221431Sjonathan * $FreeBSD$ 28221431Sjonathan */ 29221431Sjonathan 30221431Sjonathan/* 31221431Sjonathan * Test routines to make sure a variety of system calls are or are not 32221431Sjonathan * available in capability mode. The goal is not to see if they work, just 33221431Sjonathan * whether or not they return the expected ECAPMODE. 34221431Sjonathan */ 35221431Sjonathan 36221431Sjonathan#include <sys/cdefs.h> 37221431Sjonathan__FBSDID("$FreeBSD$"); 38221431Sjonathan 39221431Sjonathan#include <sys/param.h> 40280250Srwatson#include <sys/capsicum.h> 41224651Sjonathan#include <sys/errno.h> 42221431Sjonathan#include <sys/mman.h> 43221431Sjonathan#include <sys/mount.h> 44221431Sjonathan#include <sys/socket.h> 45221431Sjonathan#include <sys/stat.h> 46221431Sjonathan#include <sys/wait.h> 47221431Sjonathan 48221431Sjonathan#include <machine/sysarch.h> 49221431Sjonathan 50221431Sjonathan#include <err.h> 51221431Sjonathan#include <fcntl.h> 52221431Sjonathan#include <stdlib.h> 53221431Sjonathan#include <string.h> 54221431Sjonathan#include <unistd.h> 55221431Sjonathan 56221431Sjonathan#include "cap_test.h" 57221431Sjonathan 58224651Sjonathan#define CHECK_SYSCALL_VOID_NOT_ECAPMODE(syscall, ...) do { \ 59224651Sjonathan errno = 0; \ 60224651Sjonathan (void)syscall(__VA_ARGS__); \ 61224651Sjonathan if (errno == ECAPMODE) \ 62224651Sjonathan FAIL("capmode: %s failed with ECAPMODE", #syscall); \ 63224651Sjonathan} while (0) 64224651Sjonathan 65224651Sjonathanint 66221431Sjonathantest_capmode(void) 67221431Sjonathan{ 68221431Sjonathan struct statfs statfs; 69221431Sjonathan struct stat sb; 70221431Sjonathan long sysarch_arg = 0; 71224651Sjonathan int fd_close, fd_dir, fd_file, fd_socket, fd2[2]; 72224651Sjonathan int success = PASSED; 73221431Sjonathan pid_t pid, wpid; 74221431Sjonathan char ch; 75221431Sjonathan 76224651Sjonathan /* Open some files to play with. */ 77224651Sjonathan REQUIRE(fd_file = open("/tmp/cap_capmode", O_RDWR|O_CREAT, 0644)); 78224651Sjonathan REQUIRE(fd_close = open("/dev/null", O_RDWR)); 79224651Sjonathan REQUIRE(fd_dir = open("/tmp", O_RDONLY)); 80224651Sjonathan REQUIRE(fd_socket = socket(PF_INET, SOCK_DGRAM, 0)); 81221431Sjonathan 82224651Sjonathan /* Enter capability mode. */ 83224651Sjonathan REQUIRE(cap_enter()); 84221431Sjonathan 85224651Sjonathan /* 86224651Sjonathan * System calls that are not permitted in capability mode. 87224651Sjonathan */ 88224651Sjonathan CHECK_CAPMODE(access, "/tmp/cap_capmode_access", F_OK); 89224651Sjonathan CHECK_CAPMODE(acct, "/tmp/cap_capmode_acct"); 90224651Sjonathan CHECK_CAPMODE(bind, PF_INET, NULL, 0); 91224651Sjonathan CHECK_CAPMODE(chdir, "/tmp/cap_capmode_chdir"); 92224651Sjonathan CHECK_CAPMODE(chflags, "/tmp/cap_capmode_chflags", UF_NODUMP); 93224651Sjonathan CHECK_CAPMODE(chmod, "/tmp/cap_capmode_chmod", 0644); 94224651Sjonathan CHECK_CAPMODE(chown, "/tmp/cap_capmode_chown", -1, -1); 95224651Sjonathan CHECK_CAPMODE(chroot, "/tmp/cap_capmode_chroot"); 96224651Sjonathan CHECK_CAPMODE(connect, PF_INET, NULL, 0); 97224651Sjonathan CHECK_CAPMODE(creat, "/tmp/cap_capmode_creat", 0644); 98224651Sjonathan CHECK_CAPMODE(fchdir, fd_dir); 99224651Sjonathan CHECK_CAPMODE(getfsstat, &statfs, sizeof(statfs), MNT_NOWAIT); 100224651Sjonathan CHECK_CAPMODE(link, "/tmp/foo", "/tmp/bar"); 101224651Sjonathan CHECK_CAPMODE(lstat, "/tmp/cap_capmode_lstat", &sb); 102224651Sjonathan CHECK_CAPMODE(mknod, "/tmp/capmode_mknod", 06440, 0); 103224651Sjonathan CHECK_CAPMODE(mount, "procfs", "/not_mounted", 0, NULL); 104224651Sjonathan CHECK_CAPMODE(open, "/dev/null", O_RDWR); 105224651Sjonathan CHECK_CAPMODE(readlink, "/tmp/cap_capmode_readlink", NULL, 0); 106224651Sjonathan CHECK_CAPMODE(revoke, "/tmp/cap_capmode_revoke"); 107224651Sjonathan CHECK_CAPMODE(stat, "/tmp/cap_capmode_stat", &sb); 108224651Sjonathan CHECK_CAPMODE(symlink, 109224651Sjonathan "/tmp/cap_capmode_symlink_from", 110224651Sjonathan "/tmp/cap_capmode_symlink_to"); 111224651Sjonathan CHECK_CAPMODE(unlink, "/tmp/cap_capmode_unlink"); 112224651Sjonathan CHECK_CAPMODE(unmount, "/not_mounted", 0); 113221431Sjonathan 114224651Sjonathan /* 115224651Sjonathan * System calls that are permitted in capability mode. 116224651Sjonathan */ 117224651Sjonathan CHECK_SYSCALL_SUCCEEDS(close, fd_close); 118224651Sjonathan CHECK_SYSCALL_SUCCEEDS(dup, fd_file); 119224651Sjonathan CHECK_SYSCALL_SUCCEEDS(fstat, fd_file, &sb); 120232312Sbrueffer CHECK_SYSCALL_SUCCEEDS(lseek, fd_file, 0, SEEK_SET); 121224651Sjonathan CHECK_SYSCALL_SUCCEEDS(msync, &fd_file, 8192, MS_ASYNC); 122224651Sjonathan CHECK_SYSCALL_SUCCEEDS(profil, NULL, 0, 0, 0); 123224651Sjonathan CHECK_SYSCALL_SUCCEEDS(read, fd_file, &ch, sizeof(ch)); 124224651Sjonathan CHECK_SYSCALL_SUCCEEDS(recvfrom, fd_socket, NULL, 0, 0, NULL, NULL); 125224651Sjonathan CHECK_SYSCALL_SUCCEEDS(setuid, getuid()); 126224651Sjonathan CHECK_SYSCALL_SUCCEEDS(write, fd_file, &ch, sizeof(ch)); 127221431Sjonathan 128224651Sjonathan /* 129224651Sjonathan * These calls will fail for lack of e.g. a proper name to send to, 130224651Sjonathan * but they are allowed in capability mode, so errno != ECAPMODE. 131224651Sjonathan */ 132224651Sjonathan CHECK_NOT_CAPMODE(accept, fd_socket, NULL, NULL); 133224651Sjonathan CHECK_NOT_CAPMODE(getpeername, fd_socket, NULL, NULL); 134224651Sjonathan CHECK_NOT_CAPMODE(getsockname, fd_socket, NULL, NULL); 135224651Sjonathan CHECK_NOT_CAPMODE(fchflags, fd_file, UF_NODUMP); 136224651Sjonathan CHECK_NOT_CAPMODE(recvmsg, fd_socket, NULL, 0); 137224651Sjonathan CHECK_NOT_CAPMODE(sendmsg, fd_socket, NULL, 0); 138224651Sjonathan CHECK_NOT_CAPMODE(sendto, fd_socket, NULL, 0, 0, NULL, 0); 139221431Sjonathan 140224651Sjonathan /* 141224651Sjonathan * System calls which should be allowed in capability mode, but which 142224651Sjonathan * don't return errors, and are thus difficult to check. 143224651Sjonathan * 144224651Sjonathan * We will try anyway, by checking errno. 145224651Sjonathan */ 146224651Sjonathan CHECK_SYSCALL_VOID_NOT_ECAPMODE(getegid); 147224651Sjonathan CHECK_SYSCALL_VOID_NOT_ECAPMODE(geteuid); 148224651Sjonathan CHECK_SYSCALL_VOID_NOT_ECAPMODE(getgid); 149224651Sjonathan CHECK_SYSCALL_VOID_NOT_ECAPMODE(getpid); 150224651Sjonathan CHECK_SYSCALL_VOID_NOT_ECAPMODE(getppid); 151224651Sjonathan CHECK_SYSCALL_VOID_NOT_ECAPMODE(getuid); 152221431Sjonathan 153221431Sjonathan /* 154224651Sjonathan * Finally, tests for system calls that don't fit the pattern very well. 155221431Sjonathan */ 156221431Sjonathan pid = fork(); 157221431Sjonathan if (pid >= 0) { 158221431Sjonathan if (pid == 0) { 159221431Sjonathan exit(0); 160221431Sjonathan } else if (pid > 0) { 161221431Sjonathan wpid = waitpid(pid, NULL, 0); 162221431Sjonathan if (wpid < 0) { 163221431Sjonathan if (errno != ECAPMODE) 164224651Sjonathan FAIL("capmode:waitpid"); 165221431Sjonathan } else 166224651Sjonathan FAIL("capmode:waitpid succeeded"); 167221431Sjonathan } 168221431Sjonathan } else 169224651Sjonathan FAIL("capmode:fork"); 170221431Sjonathan 171221431Sjonathan if (getlogin() == NULL) 172224651Sjonathan FAIL("test_sycalls:getlogin %d", errno); 173221431Sjonathan 174221431Sjonathan if (getsockname(fd_socket, NULL, NULL) < 0) { 175221431Sjonathan if (errno == ECAPMODE) 176224651Sjonathan FAIL("capmode:getsockname"); 177221431Sjonathan } 178221431Sjonathan 179221431Sjonathan /* XXXRW: ktrace */ 180221431Sjonathan 181221431Sjonathan if (pipe(fd2) == 0) { 182221431Sjonathan close(fd2[0]); 183221431Sjonathan close(fd2[1]); 184221431Sjonathan } else if (errno == ECAPMODE) 185224651Sjonathan FAIL("capmode:pipe"); 186221431Sjonathan 187221431Sjonathan /* XXXRW: ptrace. */ 188221431Sjonathan 189221431Sjonathan /* sysarch() is, by definition, architecture-dependent */ 190224651Sjonathan#if defined (__amd64__) || defined (__i386__) 191224651Sjonathan CHECK_CAPMODE(sysarch, I386_SET_IOPERM, &sysarch_arg); 192224651Sjonathan#else 193224651Sjonathan /* XXXJA: write a test for arm */ 194224651Sjonathan FAIL("capmode:no sysarch() test for current architecture"); 195224651Sjonathan#endif 196221431Sjonathan 197221431Sjonathan /* XXXRW: No error return from sync(2) to test. */ 198221431Sjonathan 199224651Sjonathan return (success); 200221431Sjonathan} 201