Linux文件权限；ACL；Setuid、Setgid、Stick bit特殊权限

http://blog.sina.com.cn/s/blog_4e2e6d6a0100g47o.html
http://blog.csdn.net/aegoose/article/details/25439649

1. Linux文件系统权限
2. Linux目录文件权限的安全配置

umask
0022

/*
假设默认的情况下，umask是0022
*/
1. 新建"文件"的权属是-rw-rw-rw-，权限值是666
则新建文件最终的默认权限是-rw-r--r--

2. 新建"目录"的权属是drwxrwxrwx，权限值是777
则新建目录最总的默认权限但是drwxr-xr-x

[-dcbps][u:rwx][g:rwx][a:rwx]   
1. 类型
    1) d: dir
    2) -: file
    3) l: symbolic link
    4) p: pipe
    5) c: character device
    6) b=block device
    7) s: socket
2. u(属主owner)
    1) r: 4
    2) w: 2
    3) x: 1
2. g(所在组group)
    1) r: 4
    2) w: 2
    3) x: 1
2. o(其他人ohters)
    1) r: 4
    2) w: 2
    3) x: 1

1. 直接用r、w、x来代表文件的所有者(u owner)、用户组(g group)、其他用户(o other)对某一文件或目录的读、写、执行(x)权限，称为字符表示法，例如
ll
-rw-rw-rw-
2. 用一组(三位)八进制数来间接表示文件或目录的权属,称为数字表示法，例如
chmod 777 test 
注：所谓数字表示法是指将读取(r)，写入 (w) 和执行(x) 分別以4(读)、2(写)、l(执行)来代表，沒有授予的部份就表示值为0，然后再把所授予的权限相加而成

1. chmod 777 /dir/file 设置文件为读写执行(x)  
2. chmod -x /dir/file 删除文件u(owner)g(group)a(all)的可执行(x)  
3. chmod ga-w /dir/file 删除文件g(group)a(all)的可写权限(w)
4. chmod u=rx /dir/file 重设置文件u(owner)为读(r)和执行(x)  
5. chmod +x /dir/file 增加文件u(owner)g(group)a(all)为可执行(x) 

lsattr: 显示文件/目录的全部隐藏属性
chattr: 修改文件/目录的隐藏属性
Usage: chattr [-RVf] [-+=AacDdeijsSu] [-v version] files..

1. A
文件或目录的atime(access time)不可被修改(modified), 可以有效防御黑客为了隐藏webshell或者隐藏入侵过程中擦去对敏感文件的访问痕迹
2. a
即append，设定该参数后，只能向文件中添加数据，而不能删除，多用于服务器日志文件安全，只有root才能设定这个属性
3. c
即compresse，设定文件是否经压缩后再存储。读取时需要经过自动解压操作
4. d
即no dump，设定文件不能成为dump程序的备份目标
5. i
设定文件不能被删除、改名、设定链接关系，同时不能写入或新增内容。i参数对于文件 系统的安全设置有很大帮助
6. j
即journal，设定此参数使得当通过mount参数: data=ordered或者data=writeback挂载的文件系统，文件在写入时会先被记录(在journal中)。如果filesystem被设定参数为 data=journal，则该参数自动失效
7. s
保密性地删除文件或目录，即硬盘空间被全部收回
8. S
硬盘I/O同步选项，功能类似sync
9. u
与s相反，当设定为u时，数据内容其实还存在磁盘中，可以用于undeletion.
//值得注意的是:
只有superuser(root)或具有CAP_LINUX_IMMUTABLE处理能力(标识)的进程能够施加这些隐藏选项

1. root用户对指定的文件设置-s位权限
chmod u+s file
这意味着其他用户可以"临时"地以root的身份操作这个文件

2. 非root用户使用临时提权命令
    1) 直接使用sudo指令
    2) 在代码中使用setuid(0)这样的api来进行临时提权
/*
对于这里所谓的临时提权，我们必须要搞清楚它们的概念
1. 不是什么文件都可以通过sudo、setuid进行临时提权的
2. 只有明确设置了-s标志位的文件才具有被临时提权的机会
3. 可以简单的理解为只有root主动放出了这个-s权限，其他用户才有机会进行临时提权
*/

chmod g+s dir

chmod o+t dir 
rm -r dir: error