首页 > > 操作系统 > Linux >

Linux 特殊权限

2019-12-24 16:02:15来源：博客园 阅读 ()

新老客户大回馈,云服务器低至5折

Linux 特殊权限

普通权限管理详细说明

一，特殊权限：SUID，SGID，STICKY

1，SUID

  • 默认情况下，用户发起的进程的属主是其发起者，因此，进程以发起者的身份去访问别的资源。

    SUID的作用：用户执行某个程序文件时，如果此程序文件拥有SUID权限，则此进程的属主不是其发起者，而是这个程序文件的属主。

    SUID权限的风险很大!

  • 管理文件的SUID权限：chmod u+|-s FILE...

    展示位置：属主的执行权限位。

    • 原来属主有执行权限：显示为小写的s。
    • 原来属主没有执行权限：显示为大写的S。

    例子：非root用户是无法使用/bin/cat命令查看/etc/shadow文件的内容的。

    拷贝/bin/cat到/home/ys/bin下，给/home/ys/bin/cat加上SUID后，就可以使用/home/ys/bin/cat命令，查看/etc/shadow文件的内容了。

    # ll /etc/shadow
----------. 1 root root 1674 Dec 24 17:19 /etc/shadow
# su - ys
$ cat /etc/shadow
cat: /etc/shadow: Permission denied
# ll /bin/cat
-rwxr-xr-x. 1 root root 54160 Oct 31  2018 /bin/cat
# cp /bin/cat /home/ys/bin/
# ll /home/ys/bin/
-rwxr-xr-x. 1 root root 54160 Dec 24 18:17 cat
# su - ys
$ /home/ys/bin/cat /etc/shadow
/home/ys/bin/cat: /etc/shadow: Permission denied
$ sudo chmod u+s /home/ys/bin/cat
$ ll /home/ys/bin/cat
-rwsr-xr-x. 1 root root 54160 Dec 24 18:17 /home/ys/bin/cat
$ /home/ys/bin/cat /etc/shadow > /dev/null
$ echo $?
0

  • 由于没有个用户都可以修改自己的密码，所以程序/bin/passwd就必须有SUID权限。因为修改密码要修改/etc/passwd文件，这个文件只有root用户才有写权限。所以普通用户运行/bin/passwd，就必须用root的身份运行，才能够修改/etc/passwd文件。

    $ ll /bin/passwd
-rwsr-xr-x. 1 root root 27832 Jun 10  2014 /bin/passwd
$ ll /etc/passwd
-rw-r--r--. 1 root root 2643 Dec 23 21:38 /etc/passwd

2， SGID

  • 用户fedora和gentoo都在组mageedu里。目录/tmp/test的属组是mageedu。

    让fedora用户在目录/tmp/test下创建文件a.fedora，a.fedora文件的属组是用户fedora的基本组，也就是fedora。

    让gentoo用户在目录/tmp/test下创建文件a.gentoo，a.gentoo文件的属组是用户gentoo的基本组，也就是gentoo。

    有个需求，希望同一组的用户，在某个目录下创建的文件，组里的成员都有权限修改。上面的2个用户虽然都在组mageedu里，但是创建文件时，默认的属组是用户的基本组，有没有一个办法，让创建文件的属组自动是此目录的属组呢？SGID就登场了！

  • SGID用途：设置在目录的属组上。效果是，在此目录下创建的文件的属组，是此目录的属组，而不是用户的基本组了

    # ll -d /tmp/test
drwxrwxr-x. 2 ys mageedu 6 Dec 24 19:16 /tmp/test
# id fedora
uid=1005(fedora) gid=1005(fedora) groups=1005(fedora),5000(mageedu)
# id gentoo
uid=1004(gentoo) gid=1004(gentoo) groups=1004(gentoo),1001(za1),5000(mageedu)
# su - fedora
Last login: Thu Dec 19 21:35:48 CST 2019 on pts/2
$ cd /tmp/test
$ touch a.fedora
$ ll
-rw-rw-r--. 1 fedora fedora 0 Dec 24 19:24 a.fedora
# su - gentoo
Last login: Tue Dec 24 17:19:49 CST 2019 on pts/2
$ cd /tmp/test
$ touch a.gentoo
$ ll
-rw-rw-r--. 1 fedora fedora 0 Dec 24 19:24 a.fedora
-rw-rw-r--. 1 gentoo gentoo 0 Dec 24 19:33 a.gentoo
# chmod g+s /tmp/test
# ll -d /tmp/test
drwxrwsr-x. 2 ys mageedu 38 Dec 24 19:33 /tmp/test
# su - fedora
Last login: Tue Dec 24 19:23:49 CST 2019 on pts/1
$ cd /tmp/test
$ touch b.fedora
$ ll
-rw-rw-r--. 1 fedora fedora  0 Dec 24 19:24 a.fedora
-rw-rw-r--. 1 gentoo gentoo  0 Dec 24 19:33 a.gentoo
-rw-rw-r--. 1 fedora mageedu 0 Dec 24 19:35 b.fedora
# su - gentoo
Last login: Tue Dec 24 19:33:15 CST 2019 on pts/1
$ cd /tmp/test
$ touch b.gentoo
$ ll
-rw-rw-r--. 1 fedora fedora  0 Dec 24 19:24 a.fedora
-rw-rw-r--. 1 gentoo gentoo  0 Dec 24 19:33 a.gentoo
-rw-rw-r--. 1 fedora mageedu 0 Dec 24 19:35 b.fedora
-rw-rw-r--. 1 gentoo mageedu 0 Dec 24 19:35 b.gentoo
# su - ys
Last login: Tue Dec 24 19:14:42 CST 2019 from 10.247.236.90 on pts/1
$ cd /tmp/test
$ touch a.ys
$ ll
-rw-rw-r--. 1 fedora fedora  0 Dec 24 19:24 a.fedora
-rw-rw-r--. 1 gentoo gentoo  0 Dec 24 19:33 a.gentoo
-rw-rw-r--. 1 ys     mageedu 0 Dec 24 19:38 a.ys
-rw-rw-r--. 1 fedora mageedu 0 Dec 24 19:35 b.fedora
-rw-rw-r--. 1 gentoo mageedu 0 Dec 24 19:35 b.gentoo
[ys@localhost test]$ id ys
uid=1000(ys) gid=1000(ys) groups=1000(ys),10(wheel)

  • 管理文件的GUID权限：chmod g+|-s FILE...

    展示位置：属组的执行权限位。

    • 原来属主有执行权限：显示为小写的s。
    • 原来属主没有执行权限：显示为大写的S。

3，Sticky

  • 如果某个用户拥有对某个目录的写权限，则他可以删除这个目录里的任何文件，也就是可以删除此目录里别的用户创建的文件。

    有个需求，不希望自己创建的文件被别的用户删除掉。Sticky登场了！

  • Sticky用途：设置在目录的other上。效果是，在此目录下文件，只有是自己创建的才可以删除。

    $ ls -ld /tmp/test
drwxrwsr-x. 2 ys mageedu 70 Dec 24 19:59 /tmp/test
$ pwd
/tmp/test
$ ll
-rw-rw-r--. 1 fedora fedora  0 Dec 24 19:24 a.fedora
-rw-rw-r--. 1 ys     mageedu 4 Dec 24 19:50 a.ys
-rw-rw-r--. 1 fedora mageedu 4 Dec 24 19:51 b.fedora
-rw-rw-r--. 1 gentoo mageedu 4 Dec 24 19:50 b.gentoo
-rw-rw-r--. 1 fedora mageedu 0 Dec 24 19:51 c.fedora
-rw-rw-r--. 1 gentoo mageedu 0 Dec 24 19:51 c.gentoo
[fedora@localhost test]$ whoami
fedora
[fedora@localhost test]$ rm a.ys
[fedora@localhost test]$ rm b.gentoo
[fedora@localhost test]$ ll
-rw-rw-r--. 1 fedora fedora  0 Dec 24 19:24 a.fedora
-rw-rw-r--. 1 fedora mageedu 4 Dec 24 19:51 b.fedora
-rw-rw-r--. 1 fedora mageedu 0 Dec 24 19:51 c.fedora
-rw-rw-r--. 1 gentoo mageedu 0 Dec 24 19:51 c.gentoo
用户fedora可以删除别的用户创建的文件。
修改此目录的Sticky
# chmod o+t /tmp/test
# ll -d /tmp/test
drwxrwsr-t. 2 ys mageedu 70 Dec 24 19:59 /tmp/test
# su - gentoo
Last login: Tue Dec 24 19:50:46 CST 2019 on pts/1
$ cd /tmp/test
$ ll
-rw-rw-r--. 1 fedora fedora  0 Dec 24 19:24 a.fedora
-rw-rw-r--. 1 fedora mageedu 4 Dec 24 19:51 b.fedora
-rw-rw-r--. 1 fedora mageedu 0 Dec 24 19:51 c.fedora
-rw-rw-r--. 1 gentoo mageedu 0 Dec 24 19:51 c.gentoo
$ rm a.fedora
rm: remove write-protected regular empty file ‘a.fedora’? y
rm: cannot remove ‘a.fedora’: Operation not permitted
$ rm c.gentoo
$ ll
-rw-rw-r--. 1 fedora fedora  0 Dec 24 19:24 a.fedora
-rw-rw-r--. 1 fedora mageedu 4 Dec 24 19:51 b.fedora
-rw-rw-r--. 1 fedora mageedu 0 Dec 24 19:51 c.fedora
修改sticky后，就不能删除别的用户创建的文件了，只可以删除自己创建的文件。

  • 系统上/tmp和/var/tmp目录，默认都有sticky权限。

  • 管理文件的GUID权限：chmod o+|-t FILE...

    展示位置：other的执行权限位。

    • 原来属主有执行权限：显示为小写的t。
    • 原来属主没有执行权限：显示为大写的T。

四，管理特殊权限的另一种方法：

suid sgid sticy 八进制权限
0 0 0 0
0 0 1 1
0 1 0 2
0 1 1 3
1 0 0 4
1 0 1 5
1 1 0 6
1 1 1 7

又组成了一组，类似rwx的权限位。

所以，可在默认的3位八进制数字的左侧再加一位八进制数字，来表示各种组合。

chmod 1777 FILE...

chmod 4777 FILE...

...

二，文件访问权限列表(file access control list)

文件除了有user，group，other的权限控制外，还有一个更灵活的权限控制机制。

可以针对某个文件，让特定的某些用户，或组访问。

这个功能就叫facl

1，查看文件的额外访问权限:getfacl files

下面的/tmp/test/a.fedora没有额外的权限控制，所以别的用户无法修改此文件。

$ ll a.fedora
-rw-rw-r--. 1 fedora fedora  0 Dec 24 19:24 a.fedora
$ getfacl /tmp/test/a.fedora
getfacl: Removing leading '/' from absolute path names
# file: tmp/test/a.fedora
# owner: fedora
# group: fedora
user::rw-
group::rw-
other::r--

2，给文件添加额外的权限控制：setfacl -m user/group:user/group:xxx files

给/tmp/test/a.fedora添加额外的权限控制。赋予用户ys可以修改此文件的权限。

赋予权限后再other的可执行权限位的后面多了个加号。

$ whoami
fedora
$ setfacl -m user:ys:rw a.fedora
$ getfacl a.fedora
# file: a.fedora
# owner: fedora
# group: fedora
user::rw-
user:ys:rw-
group::rw-
mask::rw-
other::r--

$ ll
-rw-rw-r--+ 1 fedora fedora  0 Dec 24 19:24 a.fedora
$ whoami
ys
$ echo 111 >> a.fedora
$ cat a.fedora
111

给/tmp/test/a.fedora添加额外的权限控制。赋予组mageedu可以修改此文件的权限。

$ whoami
fedora
$ setfacl -m group:mageedu:rw a.fedora
$ getfacl a.fedora
# file: a.fedora
# owner: fedora
# group: fedora
user::rw-
user:ys:rw-
group::rw-
group:mageedu:rw-
mask::rw-
other::r--
$ id gentoo
uid=1004(gentoo) gid=1004(gentoo) groups=1004(gentoo),1001(za1),5000(mageedu)
$ whoami
gentoo
$ cd /tmp/test
$ ll
-rw-rw-r--+ 1 fedora fedora  4 Dec 24 22:10 a.fedora
$ echo 44444 >> a.fedora
$ cat a.fedora
111
44444

3，删除文件的额外权限控制：setfacl -x user/group files

$ getfacl a.fedora
# file: a.fedora
# owner: fedora
# group: fedora
user::rw-
user:ys:rw-
group::rw-
group:mageedu:rw-
mask::rw-
other::r--
$ setfacl -x user:ys a.fedora
$ getfacl a.fedora
# file: a.fedora
# owner: fedora
# group: fedora
user::rw-
group::rw-
group:mageedu:rw-
mask::rw-
other::r--
$ setfacl -x group:mageedu a.fedora
$ getfacl a.fedora
# file: a.fedora
# owner: fedora
# group: fedora
user::rw-
group::rw-
mask::rw-
other::r--

4，Linux的权限判断逻辑：

  • 首先判断启动进程的用户是否和file的user相同？

    • 相同：使用第一组rwx
    • 不相同：判断启动进程的用户是否在file的额外可访问用户的列表里面？
      • 在额外可访问用户的列表里面：使用额外可访问用户的rwx
      • 不在额外可访问用户的列表里面：判断启动进程的用户是否在file的group里面？
        • 在group里面：使用第二组rwx
        • 不在group里面：判断启动进程的用户是否在file的额外可访问组的列表里面？
          • 在额外可访问组里面：使用额外可访问组的rwx
          • 不在额外可访问组里面：使用第三组rwx

  • 如果某个文件的other权限是可写的，但是额外权限是不可写的，则也是不可写的。因为上面的写道的权限判断顺序。

  • 验证：

    $ ll
-rw-rw-rw-. 1 fedora mageedu  4 Dec 24 19:51 b.fedora
$ su - ys
Last login: Tue Dec 24 22:10:28 CST 2019 on pts/2
$ cd /tmp/test
$ echo "im ys" > b.fedora
$ cat b.fedora
im ys
$ setfacl -m user:ys:--- b.fedora
$ getfacl b.fedora
# file: b.fedora
# owner: fedora
# group: mageedu
user::rw-
user:ys:---
group::rw-
mask::rw-
other::rw-
$ ll
-rw-rw-rw-+ 1 fedora mageedu  6 Dec 24 22:37 b.fedora
$ su - ys
Last login: Tue Dec 24 22:36:43 CST 2019 on pts/2
$ cd /tmp/test
$ echo 3232 >> b.fedora
-bash: b.fedora: Permission denied

c/c++ 学习互助QQ群：877684253

本人微信：xiaoshitou5854


原文链接:https://www.cnblogs.com/xiaoshiwang/p/12093991.html
如有疑问请与原作者联系

标签：

版权申明：本站文章部分自网络，如有侵权，请联系：west999com@outlook.com
特别注意：本站所有转载文章言论不代表本站观点，本站所提供的摄影照片，插画，设计作品，如需使用，请与原作者联系，版权归原作者所有

上一篇：VSCode 配置阿里云CentOS 7.6 远程开发

下一篇：中断描述符表 IDT

相关文章

IDC资讯： 主机资讯 注册资讯 托管资讯 vps资讯 网站建设

网站运营： 建站经验 策划盈利 搜索优化 网站推广 免费资源

网站联盟： 联盟新闻 联盟介绍 联盟点评 网赚技巧

行业资讯： 搜索引擎 网络游戏 电子商务 广告传媒

网络编程： Asp.Net编程 Asp编程 Php编程 Xml编程 Access Mssql Mysql 其它

服务器技术： Web服务器 Ftp服务器 Mail服务器 Dns服务器 安全防护

软件技巧： 其它软件 Word Excel Powerpoint Ghost Vista QQ空间 QQ FlashGet 迅雷

网页制作： FrontPages Dreamweaver Javascript css photoshop fireworks Flash

程序设计： Java技术 C/C++ VB delphi

网络知识： 网络协议 网络安全 网络管理 组网方案 Cisco技术

操作系统： Win2000 WinXP Win2003 Mac OS Linux FreeBSD

热门词条
最新资讯
热门关注
热门标签