Linux文件权限；ACL；Setuid、Setgid、Stick bit特殊权限；sudo提权
相关学习资料
http://blog.sina.com.cn/s/blog_4e2e6d6a0100g47o.html http://blog.csdn.net/aegoose/article/details/25439649 http://www.linuxeden.com/html/unix/20071031/36892.html http://keren.blog.51cto.com/720558/144908 http://blog.csdn.net/scutth/article/details/6980758 http://blog.csdn.net/trochiluses/article/details/8810010
http://www.cnblogs.com/lcnewstart/archive/2013/03/06/2945638.html
目录
1. Linux文件系统权限 2. Linux文件系统的特殊权限 3. Linux中sudo的作用 4. Linux目录文件权限的安全配置
1. Linux文件系统权限
文件与(或)目录是文件系统的具体表现形式，在Linux系统管理部分，文件与目录管理映射了Linux文件系统管理策略的重要方面
0x1: 文件系统的默认权限(umask)
当我们在系统中新建一个文件或目录时，系统会自动赋予该文件或目录一个初始访问权限(Value)，我们称为默认权限，默认权限与文件系统的umask值有关。可以在终端下直接输入umask来查看当前系统的umask值。例如：
umask 0022
linux会在默认文件系统策略的基础上，将默认权限减去umask得到最终的权限
/* 假设默认的情况下，umask是0022 */ 1. 新建"文件"的权属是-rw-rw-rw-，权限值是666 则新建文件最终的默认权限是-rw-r--r-- 2. 新建"目录"的权属是drwxrwxrwx，权限值是777 则新建目录最总的默认权限但是drwxr-xr-x
0x2: Linux系统权限的表示方法及文件与目录的约定权限
文件和目录的权限
[-dcbps][u:rwx][g:rwx][a:rwx] 1. 类型 1) d: dir 2) -: file 3) l: symbolic link 4) p: pipe 5) c: character device 6) b=block device 7) s: socket 2. u(属主owner) 1) r: 4 2) w: 2 3) x: 1 3. g(所在组group) 1) r: 4 2) w: 2 3) x: 1 4. o(其他人ohters) 1) r: 4 2) w: 2 3) x: 1 5. a(所有人all) 1) r: 4 2) w: 2 3) x: 1
文件系统的权限表示方法有两种
1. 直接用r、w、x来代表文件的所有者(u owner)、用户组(g group)、其他用户(o other)、所有用户(a all)对某一文件或目录的读、写、执行(x)权限，称为字符表示法，例如 ll -rw-rw-rw- 2. 用一组(三位)八进制数来间接表示文件或目录的权属,称为数字表示法，例如 chmod 777 test 注：所谓数字表示法是指将读取(r)，写入 (w) 和执行(x) 分別以4(读)、2(写)、l(执行)来代表，沒有授予的部份就表示值为0，然后再把所授予的权限相加而成
0x:3 文件系统属性的修改
chmod的命令可以用下面的正则来表示
chmod [ugoa]*([-+=]([rwxXst]*|[ugo]))+
example
1. chmod 777 /dir/file 设置文件为读写执行(x) 2. chmod -x /dir/file 删除文件u(owner)g(group)a(all)的可执行(x) 3. chmod ga-w /dir/file 删除文件g(group)a(all)的可写权限(w) 4. chmod u=rx /dir/file 重设置文件u(owner)为读(r)和执行(x) 5. chmod +x /dir/file 增加文件u(owner)g(group)a(all)为可执行(x)
2. Linux下的身份标识问题
在理解suid、sgid等知识之前，我们必须要先理解一下linux下的身份标识问题
0x1: 标识和有效标识的关系
在linux系统中，存在着标识和有效标识的概念，即
我们知道，uid、euid、gid、egid这些概念属于身份标识，是进行ACL访问控制的基础，所以，我们要明白它们是被用来进行"判断"的，即在判断ACL权限的时候会用到它们，所以，理解它们的概念其实就是在理解linux上不同场景的身份判断的场上了
1. 标识: uid、gid 用于在进程创建时标识并验证用户身份，也就是说，用户只有符合相应的ACL限制才能执行某条命令(启动进程)或者查看某个资源 2. 有效标识: euid、egid 用于在进程运行时，当希望访问其他资源时表示并验证用户身份，也就是说，进程在运行的时候要去访问别的资源或者启动别的程序，这个时候，进程的身份是euid、egid
一般情况下，当一个用户登陆系统时，系统会将UID和EUID都赋值为/etc/passwd文件中的UID，一般情况下2个ID是相同的(即euid=uid egid=gid)，但是某些情况下会出现2个ID不同的情况
为了更好的理解这个概念，我们来一起通过几个case的实验帮助我们理解
以root身份编译下面的代码：
/* su root gcc test.c -o test */ #include <stdio.h> main() { printf("getuid(): %d\ngeteuid(): %d\ngetgid(): %d\ngetegid(): %d\n", getuid(), geteuid(), getgid(), getegid()); }
以root直接运行一次
因为默认情况下，group用户和other用户也有执行-x权限(注意看上图)，所以，即使我们使用非root并且非root组的用户也可以执行
主要到现在的uid=euid、gid=egid(而uid和gid都等于1000则是可以不相等的，但相等也可以，这个不影响)
我么现在去掉other的执行-x权限看看
很容易理解，没有执行权限了嘛，当然不能执行
那现在我们如果对test加上-s特权标识位会怎么样呢？是不是说我们加了-s标识位，所以其他用户就有了临时权限了嘛，就可以去执行test了嘛？是这样吗？
结果还是permission denied！不允许执行！为什么？这里我们就要理解一下了，我们在启动一个进程的时候，系统判断的依据"一定"是uid、gid，不会有别的东西，而且正常情况下，uid=euid、gid=egid。然后在进程运行的时候，进程的身份权限就要看euid、egid了，如果这个时候进程再要去访问别的资源，系统就会去判断euid、egid。这是两个独立的概念，一定要区分开来。
那回到我们的实验上来，我们必须得给test的other添加-x权限，zhenghan这个other帐号才能执行对吧，然后因为test拥有-s标志位，所以到了进程运行中，euid、egid会临时变成root
结果和我们的理论分析是一样的，我们的uid还是1000，但是euid却临时变成了0(root)，对于gid和egid也是同理
最后一个实验，我们需要重点关注一下"suid"、"sgid"的概念
"-s"表示当请求执行包含SUID特殊权限的程序时，能够"临时"拥有该程序所有者(属主)对该文件的存取权限，注意，这里说的是属主，并不一定是root(虽然我们上面的例子都是root)，这点是容易和sudo混淆的地方
用zhenghan身份进行编译并运行同样的代码
#include <stdio.h> main() { printf("getuid(): %d\ngeteuid(): %d\ngetgid(): %d\ngetegid(): %d\n", getuid(), geteuid(), getgid(), getegid()); } /* su zhenghan gcc test.c -o test chmod ug+s test su root ./test */
可以看到，实际结果和理论依然相同，euid临时改成了1000(zhenghan)
0x2: 和身份标识相关的API函数
1. uid_t getuid(void); 获取uid 2. uid_t geteuid(void); 获取euid(进程运行中的实际uid) 3. gid_t getgid (void); 获取gid 4. gid_t getegid (void); 获取eid(进程运行中的实际gid) 7. int setruid (uid_t RUID); 8. int setreuid (uid_t RUID,uid_t EUID); 9. int setgid (gid_t GID); 10. int setrgid (gid_t RGID); 11. int setegid (git_t EGID); 12. int setregid (gid_t RGID, gid_t EGID); 5. int setuid (uid_t UID); 在代码中使用setuid是有一定限制的，并不是说我们可以伪装成任意的用户 1) 如果原来的euid==0(root)，则该函数将会设置所有的id都等于新的id(root用户当然可以有权利降级为任何用户) 2) 如果原来的euid!=0 2.1) 但是新的id等于原来ruid和suid中的一个，那么也是可以执行的 2.2) 否则就不能执行 比如原来的三个id为：ruid=100，euid=200，suid=300 1) 则setuid(300)可以执行，执行结束以后ruid=100,euid=300,suid=300(也就是说只改变了euid) 2) setuid(0)就不能执行，即你不能随便从一个低权限用户直接跳到root 6. int seteuid (uid_t EUID); 无论什么情况，它只改变进程euid，而不改变ruid和suid。 1) 如果原来的euid==0，则新的euid随意设，都可以成功改变(即root可以随便转换为任意用户) 2) 如果原来的euid!=0，不同的系统的处理方式是不一样的 2.1) 但是新的id等于原来ruid和suid中的一个，那么也是可以执行的 2.2) 否则就不能执行
2. Linux文件系统的特殊权限
从概念上来说，这一部分的所谓"特殊权限"也应该属于第一部分的文件系统权限，但是因为这类权限比较特殊，我们平时使用ls、ll指令也都看不到，同时这类特殊权限如果配置不当，可能还会引发某些安全风险，所以单独分出来学习
0x1: 文件系统的隐藏权限
除了设置文件或目录的读(r)、写(w)、执行(x)权限外，对于某些有特殊要求的档案(如服务器日志)还可以追加隐藏权限的设定。大部分属性在文件系统的安全管理方面起很重要的作用
lsattr: 显示文件/目录的全部隐藏属性 chattr: 修改文件/目录的隐藏属性 Usage: chattr [-RVf] [-+=AacDdeijsSu] [-v version] files.. 1. A 文件或目录的atime(access time)不可被修改(modified), 可以有效防御黑客为了隐藏webshell或者隐藏入侵过程中擦去对敏感文件的访问痕迹 2. a 即append，设定该参数后，只能向文件中添加数据，而不能删除，多用于服务器日志文件安全，只有root才能设定这个属性 3. c 即compresse，设定文件是否经压缩后再存储。读取时需要经过自动解压操作 4. d 即no dump，设定文件不能成为dump程序的备份目标 5. i 设定文件不能被删除、改名、设定链接关系，同时不能写入或新增内容。i参数对于文件 系统的安全设置有很大帮助 6. j 即journal，设定此参数使得当通过mount参数: data=ordered或者data=writeback挂载的文件系统，文件在写入时会先被记录(在journal中)。如果filesystem被设定参数为 data=journal，则该参数自动失效 7. s 保密性地删除文件或目录，即硬盘空间被全部收回 8. S 硬盘I/O同步选项，功能类似sync 9. u 与s相反，当设定为u时，数据内容其实还存在磁盘中，可以用于undeletion. //值得注意的是: 只有superuser(root)或具有CAP_LINUX_IMMUTABLE处理能力(标识)的进程能够施加这些隐藏选项
0x2: 和提权相关的特殊权限
接下来，我们来谈谈Linux文件系统中的特殊的权限规范，这些权限包括SUID/SGID/Sticky Bit
1. Set UID
SUID是文件属性中的一个特殊的标志位"-s"，"-s"表示当请求执行包含SUID特殊权限的程序时，能够"临时"拥有该程序所有者(属主)对该文件的存取权限。
set uid之后，权限组合中的-x位被-s所取代
假设普通用户A通过passwd命令更新自己的密码，而/usr/bin/passwd的所有者是root(root,root)，也就是说，当A请求执行passwd命令时，实际上是暂时获得root对/usr/bin/passwd的执行权限，并进一步更新/etc/shadow的内容
归纳一下流程是这样的
1. root用户对指定的文件file设置-s位权限 chmod u+s file 2. 意味着其他用户在运行file的时候可以"临时"地获取root的身份 ./file 其他用户在运行file的时候，它的临时身份是root 3. file程序再去请求别的资源resource 这个时候，其他用户是以root的临时身份去请求resource的
2. Set GID
SGID在概念上和SUID很类似，当所有者所在的用户组(group)的权限组合中可执行位(x)被s所取代时(例如---rws---)，便构成Set GID的权限设置。请求执行者所在的用户组将暂时获得该程序所属的用户组ID(group ID)的存取权限
chmod g+s dir
3. Sticky Bit
当文件系统"其他(others)"的权限组合中可执行位(x)被t所取代时(例如------rwt)，便构成Sticky Bit的权限设置
SBIT顾名思义可以起到限制访问的作用，是容易理解而好用的设置，它只对目录有效。当对一个目录A施加了SBIT设定以后，并且使用者对A目录有w和x权限时，则使用者在A目录下所创建的个人文档(含目录)只有使用者本身或root可以执行删除、更名、移动等操作(是否可读依实际权限r而定)
chmod o+t dir
rm -r dir: error
3. Linux中sudo的作用
对于sodu这个命令，我们一定要注意和-s文件属性标志位进行区分，"-s"标签只能让进程在运行时临时拥有属主权限，而使用sudo命名之后，当前进程则直接以root身份运行，前提是当前在sudoers中有配置
1. sudo能够限制"用户"只在某台主机上运行"某些命令"
2. sudo提供了丰富的日志，详细地记录了每个用户干了什么。它能够将日志传到中心主机或者日志服务器。
3. sudo使用时间戳文件来执行类似的"检票"系统。当用户调用sudo并且输入它的密码时，用户获得了一张存活期为5分钟的票(这个值可以在编译的时候改变)。也就是说，我刚刚输入了sudocat /etc/issue 然后可以再次只需要输
入cat/etc/issue即可，不需要再次输入sudo
4. sudo的配置文件是sudoers文件，它允许系统管理员集中的管理用户的使用权限和使用的主机。它所存放的位置默认是在/etc/sudoers，属性必须为0411
4. Linux目录文件权限的安全配置
0x1: 建议umask安全配置
umask命令用来设置进程所创建的文件的读写权限，最保险的值是0077，即关闭创建文件的进程(owner 拥有者)以外的所有进程的读写权限，表示为-rw-------
在～/.bash_profile中，加上一行命令umask 0077可以保证每次启动Shell后, 进程的 umask权限都可以被正确设定
0x2: sudo
sudo扮演的角色注定了它要在安全方面格外谨慎，否则就会导致非法用户攫取root权限
Copyright (c) 2014 LittleHann All rights reserved
