linux文件的特殊权限总结与实验-创新互联
在linux中,有一个安全上下文的概念,一个进程(运行的程序)能否访问某个文件,取决于发起进程的用户对被操作文件存在什么权限。
成都创新互联公司是专业的洛扎网站建设公司,洛扎接单;提供成都网站制作、做网站,网页设计,网站设计,建网站,PHP网站建设等专业做网站服务;采用PHP框架,可快速的进行洛扎网站开发网页制作和功能扩展;专业做搜索引擎喜爱的网站,专业的做网站团队,希望更多企业前来合作!A. 如果进程的发起者是该被访问文件的属主,则以文件属主的权限来访问
B. 否则,如果进程的发起者是属于该被访问文件的属组中的用户,则以文件属组的权限来访问
C. 否则,以其他用户来访问此文件
而在这个权限之外,还存在着三种特殊权限
SUID:当对某一个程序文件设置了SUID置位,则该进程(程序)访问系统上的文件时,以程序的属主的身份来访问该文件,而不是执行程序的用户的权限来访问文件。
SGID:当某目录的属组对目录有写权限,并且设置了SGID置位时,属于属组的这些用户在这个目录下创建文件时,被创建的文件的属组默认会变成该目录的属组,而不是创建文件的用户的基本组。
SBIT:当对某目录设置了SBIT置位时,用户只能删除自己在该目录下创建的文件,而不能删除其他用户创建的文件,哪怕用户对目录存在写权限。
操作:
1. SUID: chmod u+s
2. SGID: chmod g+s
3. SBIT: chmod o+t
实验:
一、 SUID实验
将/bin/cat复制到/test目录,将/test/bin程序进行SUID置位。让一个普通使用该程序来查看/etc/shadow文件。然后再用系统自带的/bin/cat来查看该文件。
# 将/bin/cat复制到/test目录
[root@liuqing test]# cp /bin/cat /test/
[root@liuqing test]# ll /test
总用量 60
-rwxr-xr-x. 1 root root 54080 11月 21 17:04 cat
#对/test/cat文件进行SUID置位,该文件的属主属组都是root
[root@liuqing test]# chmod u+s /test/cat
[root@liuqing test]# ll
总用量 60
-rwsr-xr-x. 1 root root 54080 11月 21 17:04 cat
-rw-r-----. 1 lyf lyf 14 11月 21 16:15 file1.txt
#切换到普通用户liuqing
[root@liuqing test]# su - liuqing
上一次登录:四 11月 21 16:05:54 CST 2019pts/1 上
[liuqing@liuqing ~]$
#普通用户liuqing,使用/test/cat可以查看/etc/shadow
[liuqing@liuqing ~]$ /test/cat /etc/shadow
root:$6$gdIxmcOy$JSDVjR0tSdQfVTDrukonWIfRLdDIut63ZYiucsTmj8TPJ0Sq/wZduJhWgSUidlHeW6pmISq.B7Vx4OlGX1P1p1:18185:0:99999:7:::
#普通用户使用系统自带的/bin/cat,不能查看/etc/shadow
[liuqing@liuqing ~]$ ll /bin/cat
-rwxr-xr-x. 1 root root 54080 8月 20 14:25 /bin/cat
[liuqing@liuqing ~]$ cat /etc/shadow
cat: /etc/shadow: 权限不够
二、 SGID实验
系统上有两个用户,gentoo和fedora,它们的附加组为mygrp,现在对/test目录进行SGID置位,当我们使用这两个用户在/test目录下创建文件时,文件的属组会自动变成mygrp。
#查看gentoo和fedora是否存在
[root@liuqing test]# id gentoo
uid=4007(gentoo) gid=4007(gentoo) 组=4007(gentoo),5000(magedu)
[root@liuqing test]# id fedora
uid=4008(fedora) gid=4008(fedora) 组=4008(fedora),5000(magedu)
# 创建组mygrp
[root@liuqing test]# groupadd mygrp
# 将用户gentoo和fedora添加附加组mygrp
[root@liuqing test]# usermod -a -G mygrp gentoo
[root@liuqing test]# usermod -a -G mygrp fedora
[root@liuqing test]# id gentoo
uid=4007(gentoo) gid=4007(gentoo) 组=4007(gentoo),5000(magedu),5003(mygrp)
[root@liuqing test]# id fedora
uid=4008(fedora) gid=4008(fedora) 组=4008(fedora),5000(magedu),5003(mygrp)
# 修改/test的属组为mygrp,修改属组权限为rwx,对/test进行SGID置位
[root@liuqing /]# chown :mygrp /test
[root@liuqing /]# chmod g+w /test
[root@liuqing /]# chmod g+s /test
[root@liuqing /]# ls -ld /test
drwxrwsr-x. 2 root mygrp 34 11月 21 17:23 /test
# 切换用户到gentoo
[root@liuqing /]# su - gentoo
上一次登录:四 11月 21 17:22:21 CST 2019pts/0 上
[gentoo@liuqing ~]$
# gentoo用户在/test目录下创建了gentoo.txt文件,查看文件属性,该文件属组为mygrp
[gentoo@liuqing ~]$ touch /test/gentoo.txt
[gentoo@liuqing ~]$ ll /test
总用量 60
-rw-rw-r--. 1 gentoo mygrp 0 11月 21 17:25 gentoo.txt
三、 SBIT实验
/test目录的属组是mygrp,对这个目录,进行了SGID置位,mygrp组对目录有rwx权限。那么这个目录下,附加组是mygrp的用户在目录中创建的文件的属组是mygrp,这时,附加组是mygrp的这些用户可以在目录中创建、修改删除文件,而这样的话,这些用户也可以删除别的用户创建的文件,为了不让别人删除某用户创建的文件,则可以对目录进行stick,stick之后,只有用户自己和管理员可以删除该目录下该用户自己创建的文件。
# 对目录进行stick置位,查看权限,发现在o的权限位,有一个t
[root@liuqing test]# chmod o+t /test
[root@liuqing test]# ls -ld /test
drwxrwsr-t. 2 root mygrp 52 11月 21 17:25 /test
#切换到fedora用户,创建一个fedora.txt
[root@liuqing test]# su - fedora
[fedora@liuqing ~]$ touch /test/fedora.txt
[fedora@liuqing ~]$ echo "How are you?" >> /test/fedora.txt
#查看目录下的文件,对于gentoo.txt ,它的权限是属组有rw。
[fedora@liuqing ~]$ ll /test
-rwsr-xr-x. 1 root root 54080 11月 21 17:04 cat
-rw-rw-r--. 1 fedora mygrp 13 11月 22 08:45 fedora.txt
-rw-rw-r--. 1 gentoo mygrp 0 11月 21 17:25 gentoo.txt
#fedora用户可以编辑gentoo.txt这个文件
[fedora@liuqing ~]$ echo "New line" >> /test/gentoo.txt
[fedora@liuqing ~]$
[fedora@liuqing ~]$
[fedora@liuqing ~]$ cat /test/gentoo.txt
New line
#由于进行了SBIT置位,fedora用户不能删除gentoo.txt这个文件,因为这个文件不是fedora创建的。
[fedora@liuqing ~]$ rm /test/gentoo.txt
rm: 无法删除"/test/gentoo.txt": 不允许的操作
另外有需要云服务器可以了解下创新互联cdcxhl.cn,海内外云服务器15元起步,三天无理由+7*72小时售后在线,公司持有idc许可证,提供“云服务器、裸金属服务器、高防服务器、香港服务器、美国服务器、虚拟主机、免备案服务器”等云主机租用服务以及企业上云的综合解决方案,具有“安全稳定、简单易用、服务可用性高、性价比高”等特点与优势,专为企业上云打造定制,能够满足用户丰富、多元化的应用场景需求。
分享名称:linux文件的特殊权限总结与实验-创新互联
网页地址:http://pwwzsj.com/article/cdjhpe.html