判断程序是否运行在非特权容器中的方法正确性问询

我计划通过四种启发式方法检测程序是否运行在非特权容器环境中：

• 检查/proc/self/uid_map、/proc/self/gid_map中的UID/GID映射规则
• 判断进程是否拥有特定系统权限（capabilities）
• 尝试写入/proc/sys目录下的文件（多数非特权容器会以只读方式挂载主机的proc文件系统）

请问以下代码实现的检测逻辑是否正确？

#include <stdio.h>
#include <stdbool.h>
#include <sys/types.h>
#include <sys/stat.h>
#include <fcntl.h>
#include <unistd.h>
#include <sys/capability.h>

int likely_unpriv_container(void) {
    FILE *fp;
    char buffer[1024];
    unsigned long in_id, out_id, range;
    bool uid_unpriv = false, gid_unpriv = false, has_caps = false, can_write = false;
    int l = 0;
    cap_t caps;
    cap_flag_value_t value;
    int fd;

    fp = fopen("/proc/self/uid_map", "r");
    if (!fp) {
        return -1;
    }

    while (fgets(buffer, sizeof(buffer), fp)) {
        l++;
        if (sscanf(buffer, "%lu %lu %lu", &in_id, &out_id, &range) == 3) {
            if (out_id != 0 || !(in_id == 0 && range == 4294967295)) {
                uid_unpriv = true;
            }
        }
    }
    if (l > 1) {
        uid_unpriv = true;
    }
    fclose(fp);

    fp = fopen("/proc/self/gid_map", "r");
    if (!fp) {
        return -1;
    }

    l = 0;
    while (fgets(buffer, sizeof(buffer), fp)) {
        l++;
        if (sscanf(buffer, "%lu %lu %lu", &in_id, &out_id, &range) == 3) {
            if (out_id != 0 || !(in_id == 0 && range == 4294967295)) {
                gid_unpriv = true;
            }
        }
    }
    if (l > 1) {
        gid_unpriv = true;
    }
    fclose(fp);

    caps = cap_get_proc();
    if (caps) {
        if (cap_get_flag(caps, CAP_SYS_ADMIN, CAP_EFFECTIVE, &value) != -1 && value == CAP_SET) {
            has_caps = true;
        }
        if (cap_get_flag(caps, CAP_CHOWN, CAP_EFFECTIVE, &value) != -1 && value == CAP_SET) {
            has_caps = true;
        }
        if (cap_get_flag(caps, CAP_DAC_OVERRIDE, CAP_EFFECTIVE, &value) != -1 && value == CAP_SET) {
            has_caps = true;
        }
        if (cap_get_flag(caps, CAP_SETFCAP, CAP_EFFECTIVE, &value) != -1 && value == CAP_SET) {
            has_caps = true;
        }
        if (cap_get_flag(caps, CAP_SETPCAP, CAP_EFFECTIVE, &value) != -1 && value == CAP_SET) {
            has_caps = true;
        }
        cap_free(caps);
    }

    fd = open("/proc/sys/user/max_user_namespaces", O_WRONLY);
    if (fd >= 0) {
        can_write = true;
        close(fd);
    }

    if (uid_unpriv && gid_unpriv && !has_caps && !can_write) {
        return 0;
    } else {
        return -1;
    }
}

代码分析与问题点 #

1. UID/GID映射检测：逻辑基本合理，存在小瑕疵

• 核心逻辑符合非特权容器的用户命名空间特性：非特权容器会将内部UID/GID映射到主机非root范围，而特权容器/主机环境是全范围映射（0 0 4294967295），多条目映射也属于非特权特征。
• 瑕疵：若映射文件存在格式错误的行，l会被递增，可能导致l>1时误判为非特权容器。但作为启发式检测，该问题影响有限。

2. Capabilities检测：逻辑完全错误

• 当前代码将CAP_CHOWN、CAP_DAC_OVERRIDE等容器内部常规权限等同于特权环境，但非特权容器内的root用户默认就拥有这些权限，真正区别特权环境的是CAP_SYS_ADMIN这类能操作主机资源的特权级权限。
• 错误逻辑会导致大量非特权容器被误判为特权环境，完全违背检测初衷。

3. /proc/sys写入检测：逻辑不严谨

• 仅尝试打开文件而未实际写入，部分文件可能允许O_WRONLY打开，但写入时会返回权限错误，此时代码会误判为可写入。
• 优化方向：打开文件后尝试写入无影响的内容（如读取原数值后写回），根据写入结果判断真实权限。

4. 最终判定条件：因cap检测错误而失效

• 代码返回0（判定为非特权容器）的条件要求!has_caps，但非特权容器的has_caps会因错误逻辑被设为true，导致始终返回-1，无法正确识别非特权容器。

修正建议 #

1. 调整Capabilities检测逻辑：仅检查CAP_SYS_ADMIN，未设置该权限则判定为非特权容器候选。
2. 完善/proc/sys写入检测：增加实际写入步骤，确认真实写入权限。
3. 优化UID/GID映射检测：忽略格式错误的行，仅基于有效映射条目判断。

内容的提问来源于stack exchange，提问作者sjk05