更深入地了解 Linux 許可權
在 Linux 上查看文件許可權時,有時你會看到的不僅僅是普通的 r
、w
、x
和 -
。除了在所有者、組和其他中看到 rwx
之外,你可能會看到 s
或者 t
,如下例所示:
drwxrwsrwt
要進一步明確的方法之一是使用 stat
命令查看許可權。stat
的第四行輸出以八進位和字元串格式顯示文件許可權:
$ stat /var/mail
File: /var/mail
Size: 4096 Blocks: 8 IO Block: 4096 directory
Device: 801h/2049d Inode: 1048833 Links: 2
Access: (3777/drwxrwsrwt) Uid: ( 0/ root) Gid: ( 8/ mail)
Access: 2019-05-21 19:23:15.769746004 -0400
Modify: 2019-05-21 19:03:48.226656344 -0400
Change: 2019-05-21 19:03:48.226656344 -0400
Birth: -
這個輸出提示我們,分配給文件許可權的位數超過 9 位。事實上,有 12 位。這些額外的三位提供了一種分配超出通常的讀、寫和執行許可權的方法 - 例如,3777
(二進位 011111111111
)表示使用了兩個額外的設置。
該值的第一個 1
(第二位)表示 SGID(設置 GID),為運行文件而賦予臨時許可權,或以該關聯組的許可權來使用目錄。
011111111111
^
SGID 將正在使用該文件的用戶作為該組成員之一而分配臨時許可權。
第二個 1
(第三位)是「粘連」位。它確保只有文件的所有者能夠刪除或重命名該文件或目錄。
011111111111
^
如果許可權是 7777
而不是 3777
,我們知道 SUID(設置 UID)欄位也已設置。
111111111111
^
SUID 將正在使用該文件的用戶作為文件擁有者分配臨時許可權。
至於我們上面看到的 /var/mail
目錄,所有用戶都需要訪問,因此需要一些特殊值來提供它。
但現在讓我們更進一步。
特殊許可權位的一個常見用法是使用 passwd
之類的命令。如果查看 /usr/bin/passwd
文件,你會注意到 SUID 位已設置,它允許你更改密碼(以及 /etc/shadow
文件的內容),即使你是以普通(非特權)用戶身份運行,並且對此文件沒有讀取或寫入許可權。當然,passwd
命令很聰明,不允許你更改其他人的密碼,除非你是以 root 身份運行或使用 sudo
。
$ ls -l /usr/bin/passwd
-rwsr-xr-x 1 root root 63736 Mar 22 14:32 /usr/bin/passwd
$ ls -l /etc/shadow
-rw-r----- 1 root shadow 2195 Apr 22 10:46 /etc/shadow
現在,讓我們看一下使用這些特殊許可權可以做些什麼。
如何分配特殊文件許可權
與 Linux 命令行中的許多東西一樣,你可以有不同的方法設置。 chmod
命令允許你以數字方式或使用字元表達式更改許可權。
要以數字方式更改文件許可權,你可以使用這樣的命令來設置 SUID 和 SGID 位:
$ chmod 6775 tryme
或者你可以使用這樣的命令:
$ chmod ug+s tryme <== 用於 SUID 和 SGID 許可權
如果你要添加特殊許可權的文件是腳本,你可能會對它不符合你的期望感到驚訝。這是一個非常簡單的例子:
$ cat tryme
#!/bin/bash
echo I am $USER
即使設置了 SUID 和 SGID 位,並且 root 是文件所有者,運行腳本也不會產生你可能期望的 「I am root」。為什麼?因為 Linux 會忽略腳本的 SUID 和 SGID 位。
$ ls -l tryme
-rwsrwsrwt 1 root root 29 May 26 12:22 tryme
$ ./tryme
I am jdoe
另一方面,如果你對一個編譯的程序之類進行類似的嘗試,就像下面這個簡單的 C 程序一樣,你會看到不同的效果。在此示常式序中,我們提示用戶輸入文件名並創建它,並給文件寫入許可權。
#include <stdlib.h>
int main()
{
FILE *fp; /* file pointer*/
char fName[20];
printf("Enter the name of file to be created: ");
scanf("%s",fName);
/* create the file with write permission */
fp=fopen(fName,"w");
/* check if file was created */
if(fp==NULL)
{
printf("File not created");
exit(0);
}
printf("File created successfullyn");
return 0;
}
編譯程序並運行該命令以使 root 用戶成為所有者並設置所需許可權後,你將看到它以預期的 root 許可權運行 - 留下新創建的 root 為所有者的文件。當然,你必須具有 sudo
許可權才能運行一些需要的命令。
$ cc -o mkfile mkfile.c <== 編譯程序
$ sudo chown root:root mkfile <== 更改所有者和組為 「root」
$ sudo chmod ug+s mkfile <== 添加 SUID and SGID 許可權
$ ./mkfile <== 運行程序
Enter name of file to be create: empty
File created successfully
$ ls -l empty
-rw-rw-r-- 1 root root 0 May 26 13:15 empty
請注意,文件所有者是 root - 如果程序未以 root 許可權運行,則不會發生這種情況。
許可權字元串中不常見設置的位置(例如,rwsrwsrwt)可以幫助提醒我們每個位的含義。至少第一個 「s」(SUID) 位於所有者許可權區域中,第二個 (SGID) 位於組許可權區域中。為什麼粘連位是 「t」 而不是 「s」 超出了我的理解。也許創造者想把它稱為 「tacky bit」,但由於這個詞的不太令人喜歡的第二個定義而改變了他們的想法。無論如何,額外的許可權設置為 Linux 和其他 Unix 系統提供了許多額外的功能。
via: https://www.networkworld.com/article/3397790/a-deeper-dive-into-linux-permissions.html
作者:Sandra Henry-Stocker 選題:lujun9972 譯者:geekpi 校對:wxy
本文轉載來自 Linux 中國: https://github.com/Linux-CN/archive