Почему setresuid/setresgid работает в Python по сравнению с C

Question

В некоторых экспериментах кажется, что setresuid/setresgid работает по-разному в C по сравнению с Python, и я не совсем понимаю, почему. Если у меня есть следующая короткая программа C:

#include <stdio.h> 
#include <stdlib.h> 
#include <sys/types.h> 
#include <unistd.h> 

int main(int argc, char *argv[]) { 
    setresuid(999, 999, 999); 
    setresgid(999, 999, 999); 
    system("/some/program"); 
    return 0; 
} 

И двоичная имеет Setuid набор битов и двоичное в группе 999 и владелец 999, работает этот двоичный файл, как другой пользователь будет работать/некоторые/программы в качестве пользователя 999 это то, что вы ожидаете, поскольку я полагаю, что идея, стоящая за битом setuid, заключается в том, чтобы позволить программе запускаться с разрешениями для группы/владельца файла.

С другой стороны, если у меня есть следующий короткая программа на Python:

#!/usr/bin/python 
import os 
import subprocess 

os.setresuid(999,999,999) 
subprocess.check_output('/some/program', shell=True) 

и сценарий питона имеет Setuid набора бит, в группе 999 и принадлежит пользователю 999, запустив сценарий как другие пользователь дает ошибку:

Traceback (most recent call last): 
    File "/foo/bar/sample.py", line 5, in <module> 
    os.setresuid(999,999,999) 
OSError: [Errno 1] Operation not permitted 

Любая идея, почему это может быть?

Answer 1

Выполнение интерпретируемого сценария отличается от выполнения скомпилированного двоичного файла. В случае интерпретируемого сценария то, что на самом деле выполняется, - это интерпретатор, а не сам сценарий. По этой причине setuid на скрипт не влияет. В этом случае у вас должен быть setuid переводчик, который в этом случае равен python. Это не рекомендуется.