Linux权限管理
1、基本权限
文件权限位,10位:-rwxr-xr-- 第一位表示文件类型,后面3组就是权限,第一组是u所有者,第二组是g所属组,第三组是o其他人 r 读,w 写 ,x 执行
权限修改:chmod [选项] 模式 文件名
选项-R表示递归全部赋予命令指定权限
比如:chmod u+x abc.avi 给当前用户可执行权限
chmod g+w,o+w abc.avi
减权限:chmod u-x,g-w abc.avi
不用考虑之前的,直接对应赋予对应组权限:chmod u=rwx,g=rw abc.avi
给所有用户赋权限:chmod a=rwx abc.avi 三组权限都一样,一般不常用
常用的数字方式:chmod 755 abc.avi
chmod 644 abc.avi 使用比较灵活,r=4,w=2,x=1,二进制指数,避免的歧义和重复
读权限r:对于普通文件,有r权限就可以查看文件内容,如果对目录有读权限,那么可以查看目录下的文件列表
写权限w:对于普通文件,有w权限就可以用vi vim echo编辑文件内容,但是不能删除文件
文件的数据本身属于文件本身的权限控制,文件名称属于目录存放的数据
如果对目录有w权限,就可以修改文件的名称或者删除文件,以及修改目录名称,在目录下面进行任何的操作
执行权限x:对于文件可以运行可执行的脚本;如果对目录有x权限,那么可以进入目录,cd进去
对于文件来说最高权限是执行,对目录来说最高权限是写
对目录来讲 只有0 5 7是有意义的
这些权限限制对root用户是没有用的,root用户可以操作任何权限的目录和文件
chown改变文件所有者
chown user1 abc 然后权限仍然是:755这样user1用户权限是7,就可以正常访问了
chgrp group abc 是修改文件的所属组
chown user1:group1 abc 可以同时修改用户和组,冒号前面是用户,后面是组
同样加-R是递归修改,-v查看修改过程详细信息
对于web服务器等服务端平台,实际开发过程中分配权限的核心原则是:在最小权限下能够满足要求即可,符合最小权限原则
umask 查看默认权限:root用户:0022 普通用户:0002 (文件刚建立时的默认权限,根据这个可以分析默认情况下文件和目录的权限)
第一位0代表特殊权限
文件默认权限是不能执行的,所以最大权限是666,所以文件的默认权限是666换算成字母减去umask值换算成字母相减就是rw-rw-rw- 减去 --- -w- -w- = rw-r--r-- = 644
如果umask是033,则rw-rw-rw- 减去 --- -wx -wx = (空减去x仍为空,所以仍然为644) rw-r--r-- = 644
暂时修改umask值:umask 0033
目录的最大权限是777,所以仍然是:rwxrwxrwx 减去 --- -w- -w- = 755
umask值最小,权限最大,umask值最大,权限最小
永久修改umask值,配置文件和环境变量在同一个文件:/etc/profile
这里面的if语句是用来判断普通用户还是root用户的,修改这个文件可以永久修改umask值
2、特殊权限
ACL权限:任何目录都只能有一个用户和一个组,某些特殊要求下需要ACL权限,ACL权限是为了解决用户身份不够用的情况
原来ACL是为了挂载分区使用的
dumpe2fs -h /dev/sda5 列出超级块信息,可以查看acl权限的存在状态
临时给分区赋予acl权限,重新挂载即可,比如根分区:mount -o remount,acl /
如果分区默认没有acl权限,设置默认挂载需要修改配置文件:/etc/fstab
即把后面的defaults添加修改为defaults,acl
查看文件的acl权限:getfacl 文件名 默认是没有的,查看只显示普通权限
设置权限:setfacl 选项 文件名
添加ACL权限:setfacl -m u:lw:rx av 给用户lw设置av文件为rx权限,这样再使用ls -l查看最后一位从之前的.变成了+
然后通过getfacl av可以看到多了一行user:lw:r-x这就是acl权限,如果是给组设置就用g
还有一行mask::rwx这是指控制用户最高权限,需要和实际的权限进行与运算得到的才是用户真正的权限
r && r=r r && - = - - && r = - - && - = -,所以实际权限为:r-x && rwx = r-x 还是一样的
修改mask值:setfacl -m m:rx av
这时候就算设置:setfacl -m u:lw:rwx av 最后用户lw的权限仍然是r-x
权限可以设置多个用户
删除指定用户权限:setfacl -x u:lw av 同样删除组是用g:组名
删除文件所有的acl权限,所有用户和组的权限都会被删除:setfacl -b av
递归设置目录下所有文件都有对应用户的acl权限:setfacl -m u:lw:rx -R av
但是上面方法导致av下所有的文件都有x可执行权限,这样文件权限就太高了,不可避免的导致了权限溢出
默认情况下目录默认mask为rwx,文件是r-x
给目录设置默认acl权限,以后该目录下所有新建文件或者目录都会继承这个acl权限
设置默认acl权限命令:setfacl -m d:u:lw:rw -R /home/av
设置后使用getfacl查看配置都变成了默认的,设置默认acl只会对之后产生的文件赋予acl权限,之前已经有的文件不会被设置权限
递归权限设置当前存在的文件,默认权限设置以后目录新放进去的文件
默认权限和递归权限都是针对目录来说的,对普通文件没有任何意义
sudo是用户操作命令的权限,重点是针对于命令,而其他都是针对用户操作所有文件的权限
超级用户应该赋予权限,普通用户才可以使用
通过命令visudo可以配置权限,相当于修改配置文件/etc/sudoers
user ALL=(ALL) ALL
user是要赋予权限给哪个用户,ALL是被管理主机的地址,(ALL)是可使用的身份,ALL是授权使用的命令的绝对路径(一定是绝对路径)
如果是本地一台主机,ALL和本地IP作用一样
%group ALL=(ALL) ALL
这里是修改组名
命令可以带参数,写的越详细限制就越严格,只写命令代表可以执行所有的参数
比如执行visudo打开文件定位到最后一样添加:user1 ALL=(ALL) sbin/shutdown -r now
这样就给user1用户赋予了重启计算机的权限
普通用户通过命令:sudo -l 回车后按提示输入密码可以查看自己可以执行哪些命令,否则默认没有sudo权限
普通用户执行命令必须严格执行(必须写绝对路径):sudo /sbin/shutdown -r now 这样才可以正确执行
添加visudo也可以写成:user1 ALL=/usr/sbin/useradd 效果是相同的
比如更改密码添加:user1 ALL=/usr/bin/passwd 这样一定是不可以的!这样普通用户一旦得到权限,就有可能更改root用户的密码,所以应该使用正则表达式匹配
user1 ALL=/usr/bin/passwd [A-Za-z]*, !/usr/bin/passwd "", !/usr/bin/passwd root
这样就可以更改一般用户密码,但是不能更改root用户密码了,注意上面逗号后面必须加空格,
这样用户在执行上面设置的命令时,身份是root用户,一定要注意这个关系
某些特殊的权限是系统内部使用的权限,一般不太常用,比如SetUID,SetGID等,强烈建议不要修改,对服务器影响很大
umask第一位是特殊权限的定义
只有可执行的文件才可以设置SUID权限,如果文件不可执行则没有任何意义
对可执行文件赋予SUID可以写成:chmod 4775 abc 第一位补充一个4,这样文件的权限就设置为rwsrwxr-x了,s就代表SUID权限,此时文件颜色变为红色,表示警告,如果没有r权限 ,那么文件权限会变为S权限,大写的S代表错误,所以s=r+S才可以正确执行
命令执行者必须可执行文件有x执行权限才可以执行s权限,
系统中passwd命令就有s权限,所以普通用户可以间接的通过passwd的s权限提升为所有者即root用户,对/etc/shadow密码文件进行修改,修改完毕,权限回归(灵魂附体只在普通用户执行带s权限的命令的过程中有效),如果文件没有SUID权限,则普通用户权限不会提升
设置SUID权限的命令是:chmod 4775 文件名或者chmod u+s 文件名
取消SUID权限的命令是:chmod 0775 文件名或者chmod u-s 文件名
设置SGID权限的命令是:chmod g+s 文件名或者chmod 2775 文件名,作用和前面一致,提升用户组的权限
正常情况下严格控制文件,不要手动设置SetUID权限,系统中定期检查是否出现不常见的SUID权限的文件,如果出现服务器就有可能被注入后门,要尽快清除
清除方法如下:
首先系统正常情况下设置模板文件保存系统中所有带SUID权限的文件:
find / -perm -4000 -o -perm -2000 > /root/suid.log
然后编写脚本,(注意:shello脚本空格严格区分,注意关键词间的空格间隔):
#!/bin/bash
find / -perm -4000 -o -perm -2000 > /tmp/setuid.check
for i in $(cat /tmp/setuid.check)
do
grep $i /root/suid.log > /dev/null
if [ "$?" != "0" ]
then
echo "$i isn't in listfile!" >> /root/suid_log_$(date +%F)
fi
done
rm -rf /tmp/setuid.check
然后执行脚本:
chmod 755 suid_check.sh
./suid_check.sh
当脚本执行完毕后,在root目录下就会出现suid_log_当前日期这样一个文件,这个时候打开这个文件,里面就是所有除系统默认之外的拥有SUID权限的文件,只需要把列表文件删除即可
SGID权限既可以对可执行文件设置也可以对目录设置,
如果对于文件SGID和SUID相似,只有可执行权限的文件才可以设置SGID权限,
chmod g+s abc或者chmod 2777 abc,设置后组权限有个s,只有普通用户执行时权限提升为组权限,执行完毕同样权限回归
比如普通用户可以执行locate命令提升组为slocate从而搜索数据库文件/var/lib/mlocate/mlocate.db
如果对于目录赋予权限,普通用户必须对目录有r和x权限,如果此时目录也有SUID权限,如果普通用户进入目录时,用户在此目录中的组权限就是该目录的所属组,用户如果对该目录有w权限,则用户在该目录下新建的文件或者目录所属组都是用户的所属组,而不是用户本身的所属组
SGID权限比SUID权限稍微安全一些,同样不建议随便使用
SBIT权限只针对目录有效,如果用户和用户组外其他用户对目录有rwx权限,即7权限,即可以查看并且在目录中创建文件,
首先建立目录,设置权限为chmod 777 abc
默认情况下其他用户虽然不能修改abc目录下root用户和组建立的文件内容,但是由于对目录有写权限,所以可以删除abc下面的文件,当设置SBIT粘着位之后,那么其他用户就算对目录拥有rwx权限,但是也不能删除这个目录下root用户创建的文件了,而只能删除自己的文件
设置SBIT权限,chmod o+t abc,设置后第三组其他用户权限变为rwt,t就代表SBIT
/tmp目录就拥有SBIT权限,默认情况下所有用户都拥有新建文件的权限等,默认情况下对指定文件没有写权限,所以不能删除也不能对其他用户的文件有任何操作,这样就发挥临时目录的作用
在web服务器目录中,不要设置目录权限为777,虽然这样方便,最好的方法是要更合理的调整用户符合分配最小权限原则,够用即可
之前设置给目录设置SBIT权限后,虽然目录下文件不能删除,但是可以修改内容,用不可改变位权限可以解决这个问题
不可改变位设置:
对于文件和目录都生效:chattr +i abc
通过lsattr abc可以查看这个文件具体的权限,可以看到+i后权限里面除了e还多出来一个i
通过lsattr -d abc可以查看目录的不可改变位权限
给普通文件设置i权限后,所有用户包括root都不能修改该文件的内容或者删除文件,但是root用户本身可以赋予或者取消该权限设置,同样拥有控制权
如果给目录设置i权限后,只能修改目录下文件内的内容,不能建立和删除下面的文件也不能对文件重命名
取消i权限:chattr -i abc
a权限,对文件或者目录设置a权限:chattr +a abc
给文件赋予a属性,属性中会多一个a,则文件里面只能追加内容,但是不能删除文件也不能减少内容,用vi/vim追加是无效的,会被系统禁止,但是可以用 echo abcd >> abc这样的方式正确追加
如果对目录设置a属性,则只可以在目录中建立新文件,但是不能删除或者修改旧文件名,但可以修改文件内容,但是会有警告,已经建立的新文件也无法删除
取消a权限:chattr -a abc
i和a权限同样不建议随便使用,还是建议灵活使用系统的基本权限以及默认权限,必要时再使用特殊权限,提高系统的稳定性和安全性。
![](https://images2015.cnblogs.com/blog/735119/201701/735119-20170111112835275-168981902.gif)
![](https://images2015.cnblogs.com/blog/735119/201701/735119-20170111112841431-2047172832.jpg)
![](https://images2015.cnblogs.com/blog/735119/201701/735119-20170111112847494-1544911856.jpg)
![](https://images2015.cnblogs.com/blog/735119/201701/735119-20170111112904385-918783221.jpg)
![](https://images2015.cnblogs.com/blog/735119/201701/735119-20170111120143119-1302805212.jpg)
![](https://images2015.cnblogs.com/blog/735119/201701/735119-20170111112856369-1466718103.jpg)
![](https://images2015.cnblogs.com/blog/735119/201701/735119-20170111112830416-794416355.jpg)
![](https://images2015.cnblogs.com/blog/735119/201701/735119-20170111113919510-1155220901.gif)