Linux权限管理:setUID、setGID 和 Sticky BIT
1、setUID、setGID 和 Sticky BIT 的功能详解
setuid 功能:
1、只有可执行的二进制文件程序才能设定 SUID 权限(前提)
2、命令执行者要对该程序有执行(x)权限(必要条件)
3、命令执行者再执行该程序时获得该程序文件属主的身份
4、setuid 权限只在该程序执行过程中生效
setgid 功能: -- 对文件而言
1、只有可执行的二进制程序设置SGID
2、命令执行者要对该程序拥有执行(x)权限
3、命令执行再执行程序的时候,组身份升级为该程序文件的属组
4、setgid 权限童谣只在该程序执行过程中有效
sticky BIT 功能:
1、粘位一般用于对目录进行操作
2、普通用户对该目录拥有 w 和 x 权限
3、设置了粘位的目录,其目录下的文件只有由那个创建的人才能删除,其他人即使拥有w权限也是不行的(root管理员除外)
2、setuid、setgid 和 sticky BIT的实例应用
setuid和setgid
setuid 和setgid位是让普通用户可以以root用户的角色运行只有root帐号才能运行的程序或命令。比 如我们用普通用户运行passwd命令来更改自己的口令,实际上最终更改的是/etc/passwd文件我们知道/etc/passwd文件是用户管理的 配置文件,只有root权限的用户才能更改
作为普通用户如果修改自己的口令通过修改/etc/passwd肯定是不可完成的任务,但是不是可以通过一个命令来修改呢答案是肯定的,作为普通用 户可以通过passwd 来修改自己的口令这归功于passwd命令的权限我们来看一下;
因为/usr/bin/passwd 文件已经设置了setuid 权限位(也就是r-s--x--x中的s),所以普通用户能临时变成root,间接的修改/etc/passwd,以达到修改自己口令的权限
我们在Linux 系统中的超级权限的控制中 有提到过我们知道Linux的用户管理是极为严格的,不同的用户拥有不同的权限,为了完成只有root用户才能完成的工作,我们必须为普通用户提升权 限,最常用的方法就是su或sudo虽然setuid 和setgid也是让普通用户超越自身拥有的普通权限达到root权限的方法,但我不推荐大家使用,因为它能为系统带来隐患!!
注意:setuid和setgid会面临风险,所以尽可能的少用
我们想让一个普通用户 qiuyu 拥有root用户拥有超级rm删除权限,我们除了用su或sudo 临时切换到 root身份操作以外,还能怎么做呢?
rm: 无法删除 beinantest.txt: 权限不够
那我们怎么才能让qiuyu 这个普通用户也拥有root超级的rm 删除功力呢?
我们只是设置了rm 的setuid位,让普通用户在rm指令上有超级root的删除超级权力
通过这个例子,我们应该能明白setuid和setgid位的应用了,如同前面所说,让普通用户超越本身的能力,让普通用户能执行只有root才能 执行的命令在这一点,我们要和su和sudo 区分开来请参见su和sudo的文档:Linux 系统中的超级权限的控制
sticky BIT
我们知道 /tmp 是系统的临时文件目录,所有的用户在该目录下拥有所有的权限,也就是说在该目录下可以任意创建、修改、删除文件,那如果用户A在该目录下创建了一个文件,用户B将该文件删除了,这种情况我们是不能允许的。为了达到该目的,就出现了stick bit(粘滞位)的概念。它是针对目录来说的,如果该目录设置了stick bit(粘滞位),则该目录下的文件除了该文件的创建者和root用户可以删除和修改/tmp目录下的stuff,别的用户均不能动别人的,这就是粘滞位的作用。
设置 /tmp目录的粘位:
再由 qihuan 用户进入该目录下新建 aa 文件并操作:
再用 qiuyu 用户对 aa 进行删除操作:
3、setuid、setgid和 sticky BIT的设置方法
Chmod命令中的特殊权限位含义:
1、S_ISUID 04000 文件的 (set user-id on execution)位
2、S_ISGID 02000 文件的 (set group-id on execution)位
3、S_ISVTX 01000 文件的sticky 位
上面的都是8进制数。
如何设置UID、GID、STICK_BIT:
SUID:置于 u 的 x 位,原位置有执行权限,就置为 s,没有了为 S .
chmod u+s xxx # 设置setuid权限
chmod 4551 file // 权限: r-sr-x—x
SGID:置于 g 的 x 位,原位置有执行权限,就置为 s,没有了为 S .
chmod g+s xxx # 设置setgid权限
chmod 2551 file // 权限: r-xr-s--x
STICKY:粘滞位,置于 o 的 x 位,原位置有执行权限,就置为 t ,否则为T .
chmod o+t xxx # 设置stick bit权限,针对目录
chmod 1551 file // 权限: r-xr-x--t
4、注意事项
注意:特殊权限只对可执行权限的文件有效,没有执行权限的文件被设置成特殊限位时毫无意义的
没有可执行权限的文件被设置成特殊权限位的标志:
SUID---S(大写)---不可用状态
SGID---S(大写)---不可用状态
SBIT----T(大写)---不可用状态