如何启用ld.so的Secure Execution安全执行模式？

AT_SECURE 非零值设置方法 #

AT_SECURE 是内核在加载二进制程序时，自动写入进程辅助向量的标志位，普通用户无法直接手动修改该条目的值，仅能通过触发内核预设的规则使其置为非零，常见触发场景如下：

• 运行设置了suid/sgid权限位的二进制文件：当进程真实用户ID/组ID与有效用户ID/组ID不一致时，内核会自动将AT_SECURE设为1，比如系统自带的passwd命令就是典型的suid程序，运行时默认启用安全执行模式。
• 运行配置了特殊Linux能力的二进制文件：通过setcap给程序分配了超出普通用户权限的能力时，进程启动时AT_SECURE也会自动置为非零。
• 安全模块强制规则：如果SELinux、AppArmor等安全模块配置了针对特定进程的安全策略，要求启用安全执行模式，也会触发AT_SECURE置1。

永久启用安全执行模式的可行性 #

全局永久启用安全执行模式没有官方支持，也不建议操作，仅可针对特定程序永久启用该模式。

AT_SECURE 的设计定位是为高权限进程提供安全防护，避免不受信任的环境变量、用户配置影响高权限进程的执行安全，本身没有设计全局启用的配置入口。

如果强制尝试全局启用，仅能通过修改内核源码或者glibc的动态链接器逻辑、自行编译替换系统核心组件实现，操作成本极高，且会带来严重的兼容性问题：

• 安全执行模式下会忽略LD_LIBRARY_PATH、LD_PRELOAD等所有动态链接相关的用户环境变量，大量依赖这些特性的开发工具、桌面应用会直接运行失败。
• 普通进程启用该模式后，很多依赖自定义插件加载、用户态配置的程序逻辑会失效，绝大多数场景下没有实用价值。

如果仅需要给特定程序永久启用安全执行模式，直接给对应二进制文件设置suid权限位或者配置对应安全模块的强制规则即可实现。

内容的提问来源于stack exchange，提问作者S D