我寫(xiě)了一個(gè)簡(jiǎn)單的 走 程序使用 YAML 和 MySQL 驅(qū)動(dòng)程序，目的是提供一個(gè)簡(jiǎn)單的實(shí)用程序來(lái)更新數(shù)據(jù)庫(kù)，而不會(huì)將用戶名和密碼憑據(jù)暴露給執(zhí)行程序的用戶。（我很清楚我也可以用 Python 或其他一些腳本語(yǔ)言編寫(xiě)它并使用 須藤 但我想在這里嘗試不同的方法，為我自己的啟迪）。建立程序后，我已經(jīng)使用chgrp sys dbcreds.yaml && chmod 0640 dbcreds.yaml和chgrp sys ./myprog && chmod g+s ./myprog（作為root）......，一切似乎工作。（我還測(cè)試了在 setGID 步驟之前訪問(wèn)被拒絕，因?yàn)樗鼞?yīng)該是）。我還進(jìn)行了測(cè)試strace，結(jié)果導(dǎo)致權(quán)限被拒絕（應(yīng)該如此）。（為了好玩，我也運(yùn)行l(wèi)trace -S了它；這是在 Linux 下。正如預(yù)期的那樣，我沒(méi)有看到很多正常的 libc 函數(shù)調(diào)用......通過(guò)我很驚訝地看到了一些pthread_....()和一個(gè)malloc()調(diào)用在那個(gè)清單中。我猜 GO 運(yùn)行時(shí)確實(shí)鏈接到了一些系統(tǒng)庫(kù)函數(shù)）。我的問(wèn)題：這安全嗎？是否有任何已知的方法可以導(dǎo)致 Go 程序（如下）在讀取這些私有憑據(jù)后進(jìn)行核心轉(zhuǎn)儲(chǔ)或公開(kāi)其內(nèi)存？在我閱讀了我的憑據(jù)后，有沒(méi)有辦法刪除我的 SGID 權(quán)限？是否有針對(duì) Go 二進(jìn)制文件的 SUID/SGID 漏洞利用示例？有一個(gè)更好的方法嗎？有沒(méi)有辦法主動(dòng)防止核心轉(zhuǎn)儲(chǔ)或確保敏感數(shù)據(jù)（憑據(jù)）不會(huì)在核心轉(zhuǎn)儲(chǔ)中？另一個(gè)注意事項(xiàng)：我發(fā)現(xiàn)gopkg.in/yaml.v2語(yǔ)義有點(diǎn)令人不安。在我的 YAML 文件中，我有類似的內(nèi)容：---user mepw mypassword但是在我的代碼中，我必須使用User和Pw（大寫(xiě)）而不是像我預(yù)期的那樣使用小寫(xiě)。我認(rèn)為這是Goyaml的作者的一個(gè)實(shí)施決定。是這樣嗎？#!gopackage mainimport (    "fmt"    "database/sql"    _ "github.com/go-sql-driver/mysql"    "gopkg.in/yaml.v2"    "io/ioutil"    "os"    "strconv")type Creds struct {    User string    Pw   string}func main() {    filename := "./dbcreds.yaml"    var creds Creds    conf, err := ioutil.ReadFile(filename)    if err != nil {        panic(err)    }    err = yaml.Unmarshal(conf, &creds)    if err != nil {        panic(err)    }    var arg1 int    arg1, err = strconv.Atoi(os.Args[1])    if err != nil {        panic(err.Error()) // Just for example purpose. You should use proper error handling instead of panic    }    fmt.Println("arg1: ", arg1, "\n")    dsn := fmt.Sprintf("%s:%s@/mydatabase", creds.User, creds.Pw)    db, err := sql.Open("mysql", dsn)    if err != nil {        panic(err.Error())    }    defer db.Close()    err = db.Ping()    if err != nil {        panic(err.Error())    }    stmtOut, err := db.Prepare("SELECT quant FROM c WHERE id >= ?")    if err != nil {        panic(err.Error())    }    defer stmtOut.Close()    rows, err := stmtOut.Query(arg1)    if err != nil {        panic(err.Error())    }    defer rows.Close()