Linux学习之十五-Linux文件特殊权限和附加权限

时间：2018-06-24 16:04:33 阅读：394 评论：0 收藏：0 [点我收藏+]

标签：1.0 存储格式 sbit mat 系统 prot name pre

Linux文件特殊权限和附加权限

1、特殊权限suid

范围：只能针对二进制命令文件

作用：让普通用户拥有二进制命令文件所有者的权限

举例1：普通用户使用passwd命令修改密码

cat /etc/shadow 存放密码的文件，用sha512加密方式加密

echo 123456|passwd --stdin a 非交互式设置密码

[root@localhost ~]# ls -l /usr/bin/passwd

-rwsr-xr-x. 1 root root 30768 Nov 24 2015 /usr/bin/passwd

[root@localhost ~]# ll /etc/shadow

---------- 1 root root 977 Apr 3 14:11 /etc/shadow

可见，passwd具有s权限，具有root用户权限，才能修改密码，普通用户具有执行权限但不一定拥有以root身份执行时的权限，添加s权限后就具有了root用户的执行权限

举例2：netstat命令通过修改s权限可以使普通用户具有root身份

在root用户下使用netstat命令

[root@localhost ~]# netstat -lntup

Active Internet connections (only servers)

Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name

tcp 0 0 0.0.0.0:52113 0.0.0.0:* LISTEN 1186/sshd

tcp 0 0 :::52113 :::* LISTEN 1186/sshd

udp 0 0 0.0.0.0:68 0.0.0.0:* 1109/dhclient

在普通用户下使用netstat命令

[test@localhost ~]$ netstat -lntup

(No info could be read for "-p": geteuid()=502 but you should be root.)

Active Internet connections (only servers)

Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name

tcp 0 0 0.0.0.0:52113 0.0.0.0:* LISTEN -

tcp 0 0 :::52113 :::* LISTEN -

udp 0 0 0.0.0.0:68 0.0.0.0:* -

在root用户下查看netstat命令的权限

[root@localhost ~]# ll /bin/netstat

-rwxr-xr-x 1 root root 128216 Mar 22 2017 /bin/netstat

在普通用户下使用stat命令查看命令详细属性，当前的权限为0755

[test@localhost ~]$ stat /bin/netstat

File: `/bin/netstat‘

Size: 128216 Blocks: 256 IO Block: 4096 regular file

Device: 802h/2050d Inode: 788614 Links: 1

Access: (0755/-rwxr-xr-x) Uid: ( 0/ root) Gid: ( 0/ root)

Access: 2018-04-03 14:46:08.529638732 +0800

Modify: 2017-03-22 07:52:14.000000000 +0800

Change: 2018-04-03 14:48:07.523615430 +0800

在root用户下修改权限u+s

[root@localhost ~]# chmod u+s /bin/netstat

[root@localhost ~]# ll /bin/netstat

-rwsr-xr-x 1 root root 128216 Mar 22 2017 /bin/netstat

在普通用户下使用stat命令再次查看命令详细属性，当前的权限为4755

[test@localhost ~]$ stat /bin/netstat

File: `/bin/netstat‘

Size: 128216 Blocks: 256 IO Block: 4096 regular file

Device: 802h/2050d Inode: 788614 Links: 1

Access: (4755/-rwsr-xr-x) Uid: ( 0/ root) Gid: ( 0/ root)

Access: 2018-04-03 14:46:08.529638732 +0800

Modify: 2017-03-22 07:52:14.000000000 +0800

Change: 2018-04-03 14:46:46.432625876 +0800

在普通用户下重新使用netstat命令，发现具有了root身份，即和在root用户下执行的结果一样

[test@localhost ~]$ netstat -lntup

Active Internet connections (only servers)

Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name

tcp 0 0 0.0.0.0:52113 0.0.0.0:* LISTEN 1186/sshd

tcp 0 0 :::52113 :::* LISTEN 1186/sshd

udp 0 0 0.0.0.0:68 0.0.0.0:* 1109/dhclient

使用u-x命令(没有执行权限）

[root@localhost ~]# chmod u-x /bin/netstat

[root@localhost ~]# ll /bin/netstat

-rwSr-xr-x 1 root root 128216 Mar 22 2017 /bin/netstat

2、特殊权限sgid

作用：和SUID一样，只是SGID是获得该程序所属用户组的权限

举例：locate 查找文件原理：把系统中所有文件名存储在一个数据库中并建立索引

所以查找起来locate比find要快很多

updatedb 更新locate命令数据库内容的命令

[root@localhost ~]# chmod g+s /usr/bin/locate

[root@localhost ~]# ll /usr/bin/locate

-rwx--s--x 1 root slocate 38464 Mar 12 2015 /usr/bin/locate

[root@localhost ~]# chmod g-x /usr/bin/locate

[root@localhost ~]# ll /usr/bin/locate

-rwx--S--x 1 root slocate 38464 Mar 12 2015 /usr/bin/locate

[root@localhost ~]# stat /usr/bin/locate

File: `/usr/bin/locate‘

Size: 38464 Blocks: 80 IO Block: 4096 regular file

Device: 802h/2050d Inode: 658161 Links: 1

Access: (2701/-rwx--S--x) Uid: ( 0/ root) Gid: ( 21/ slocate)

Access: 2018-04-02 15:23:19.000000000 +0800

Modify: 2015-03-12 17:21:21.000000000 +0800

Change: 2018-04-03 15:19:24.432622176 +0800

[root@localhost ~]# chmod g+x /usr/bin/locate

[root@localhost ~]# stat /usr/bin/locate

File: `/usr/bin/locate‘

Size: 38464 Blocks: 80 IO Block: 4096 regular file

Device: 802h/2050d Inode: 658161 Links: 1

Access: (2711/-rwx--s--x) Uid: ( 0/ root) Gid: ( 21/ slocate)

Access: 2018-04-02 15:23:19.000000000 +0800

Modify: 2015-03-12 17:21:21.000000000 +0800

Change: 2018-04-03 15:20:09.750626919 +0800

3、特殊权限sbit

Sticky Bit 粘滞位

作用：只针对目录有效，对于目录的作用是：当用户在该目录下建立文件或目录时，仅有自己与 root才有权力删除

最具有代表的就是/tmp目录，任何人都可以在/tmp内增加、修改文件（因为权限全是rwx），但仅有该文件/目录建立者与 root能够删除自己的目录或文件

[root@localhost ~]# stat /tmp/

File: `/tmp/‘

Size: 4096 Blocks: 8 IO Block: 4096 directory

Device: 802h/2050d Inode: 1048577 Links: 3

Access: (1777/drwxrwxrwt) Uid: ( 0/ root) Gid: ( 0/ root)

Access: 2018-04-03 13:49:59.000000000 +0800

Modify: 2018-04-03 14:14:02.000000000 +0800

Change: 2018-04-03 14:14:09.311623966 +0800

[root@localhost ~]# chmod o-x /tmp/

[root@localhost ~]# stat /tmp/

File: `/tmp/‘

Size: 4096 Blocks: 8 IO Block: 4096 directory

Device: 802h/2050d Inode: 1048577 Links: 3

Access: (1776/drwxrwxrwT) Uid: ( 0/ root) Gid: ( 0/ root)

Access: 2018-04-03 13:49:59.000000000 +0800

Modify: 2018-04-03 14:14:02.000000000 +0800

Change: 2018-04-03 15:21:02.341604692 +0800

4、附加权限

又叫做扩展权限

命令格式

chattr [+-=] 选项文件或目录名

+增加权限

- 删除权限

= 等于某权限

chattr change attributes改变附加权限

The letters ‘acdeijstuADST‘ select the new attributes for the files: append only (a), com-pressed (c), no dump (d), extent format (e), immutable (i), data journalling (j), secure dele-tion (s), no tail-merging (t), undeletable (u), no atime updates (A), synchronous directory updates (D), synchronous updates (S), and top of directory hierarchy (T).

部分常用参数说明：

+a append (可读，如果有执行权限可执行，可追加，但是不能删除）

+i immutable(可读，如果有执行权限可执行，不能追加，不能删除)

用途：给系统的关键文件加把锁

+s secure dele-tion(安全删除。若误删除，数据无法恢复)

+A no atime updates(访问时不更新访问时间)

用途：超大并发的情况下，关闭更新访问时间来降低服务器压力

+c com-pressed(压缩)

+d no dump(不备份)

用途：不希望被恢复的文件，linux 找回误删除的文件

+t no tail-merging(尾部合并）

lsattr test.txt list attributes查看附加权限位