传统 Unix 权限分为 root 和非 root，Capabilities 将 root 权限拆分为 40 多个独立能力。每个进程有五个能力集，控制权限的获取和传递。文件能力替代 setuid，Ambient 能力解决 execve 后丢失问题。CAP_SYS_ADMIN 权限过大，正逐步拆分。

Linux内核2.2之后引入了Capabilities机制，将之前与超级用户root关联的特权细分为不同的功能组，可以独立启用和禁用，并举例介绍了如何利用cap_sys_admin权限进行提权。