linux权限管理

文件基本权限

-rw-r--r--
-：文件类型（-文件 d目录 l软链接文件）
rw-: u所有者权限
r--: g所属组权限
r--: o其他人权限

基本权限的修改

chmod [选项] 模式 文件名
选项：
-R: 递归
模式：
[ugoa][+-=][rwx]
mode=421

chmod u+x 文件名
chmod g+w,o+w 文件名
chmod u=rwx,g=r 文件名
chmod a=rwx 文件名
# r --- 4
# w --- 2
# x --- 1
chmod 755 文件名

权限的作用
r: 读取文件内容（cat more head tail）
w: 编辑、新增、修改文件内容（vi echo），但是不包含删除文件（需要对其所在目录有w权限才可删除，文件为目录的内容）
x: 可执行

权限对目录的作用
r: 可以查询目录下文件名 (ls)
w: 具有修改目录结构的权限。如新建文件和目录，删除此目录下文件夹和文件，重命名此目录下文件夹和文件，剪切 （touch rm mv cp）
x: 可以进入目录 (cd)

对文件来讲： 最高权限是执行x
对目录来讲： 最高权限是写w

其他权限命令
chown 用户名 文件名 改变文件所有者
chgrp 用户组 用户名 改变用户所属组（如果没有组名，则创建与用户名同名的用户组）

让用户对文件及目录拥有一定的权限
要求：
拥有一个test目录
让user1拥有所有的权限(7)
让user2有查看的权限(5)
其他所有人不许查看这个目录(0)

# root登录
mkdir test
useradd user1
passwd user1
groupadd user
gpasswd -a user1 user
useradd user2
gpasswd -a user2 user
chown user1:user test
chmod 750 test

分配文件基本权限的核心原则
在最小权限情况下能够实现要求即可！

文件默认权限

window中是通过继承得来的默认权限

linux中通过umask来查看默认权限

# 查看默认权限
umask
# 0022
# 第一位0：文件特殊权限
# 022：文件默认权限

文件的默认权限
文件默认不能建立为执行文件（安全），必须手工赋予执行权限
所以文件默认权限最大为666
默认权限需要换算成字母再相减
建立文件之后的默认权限，为666减去umask值
示例1：
-rw-rw-rw(文件默认最大权限666) 减去 ----w--w-(umask值022) 等于 -rw-r--r--
示例2：
-rw-rw-rw(文件默认最大权限666) 减去 ----wx-wx(umask值033) 等于 -rw-r--r--

目录的默认权限
目录默认权限最大为777
默认权限需要换算成字母再相减
建立文件之后的默认权限，为777减去umask值
示例：
rwxrwxrwx(目录默认最大权限777) 减去 ----w--w-(umask值022) 等于 rwxr-xr-x

修改umask值
umask=022 临时修改
vi /etc/profile 永久修改

ACL权限

drwxr-xr-x. 无ACL权限(使用setfacl赋予)
drwxr-xr-x+ 有ACL权限(使用getfacl查看)

ACL 权限简介与开启

ACL权限(Access Control List)：用于解决用户身份不够用的情况。如用户权限rwx，用户组权限rwx，其他人没有权限；但需要给特殊的user1只读的权限

# 查看分区ACL权限是否开启
dumpe2fs -h /dev/sda1 # dumpe2fs命令是查询指定分区详细文件系统信息的命令
# -h 仅显示超级块中信息，而不显示磁盘块组的详细信息

# 临时开启分区ACL权限
mount -o remount,acl / # 重新挂载根分区，并挂载加入acl权限

# 永久开启分区ACL权限
vi /etc/fstab
# UUID=c4976561-a3be-476d-8c77-f031a241e70d /                       ext4    defaults,acl        1 1
mount -o remount / # 重新挂载文件系统或重启系统，使用修改生效

查看与设定ACL权限

# 查看ACL权限
getfacl 文件名

# 设定ACL权限
setfacl 选项 文件名
# -m 设定ACL权限
# -x 删除指定的ACL权限
# -b 删除所有的ACL权限
# -d 设定默认ACL权限
# -k 删除默认ACL权限
# -R 递归设定ACL权限

# root登录
useradd teacher1
groupadd student
mkdir /home/test
chown teacher1:student /home/test
chmod 770 /home/test
useradd user1
setfacl -m u:user1:rx /home/test # 给用户user1赋予r-x权限，使用 "u:用户名:权限" 的格式
groupadd tgroup2
setfacl -m g:tgroup2:rwx /home/test # 为组分配ACL权限，使用 "g:组名:权限" 的格式 

最大有效权限与删除ACL权限

最大有效权限mask
mask是用来指定最大有效权限的。如果给用户赋予了ACL权限，是需要和mask的权限“相与”才能得到用户的真正权限

# 修改最大有效权限
setfacl -m m:rx 文件名 # 设定mask权限为r-x。使用 "m:权限" 的格式

删除ACL权限

setfacl -x u:用户名 文件名   # 删除指定用户的ACL权限
setfacl -x g:组名 文件名     # 删除指定用户组的ACL权限
setfacl -b 文件名  # 删除该文件所有ACL权限

ACL默认权限与递归权限

# 递归赋予ACL权限
setfacl -m u:user1:rx -R /home/test

权限溢出：当对目录进行递归赋予ACL权限时，若这个目录有ACL执行x权限，则目录中的文件也会赋予x权限

默认ACL权限
set -m d:u:用户名:rx /home/test 以后在/home/test创建的文件，将有继承/home/test的ACL权限

sudo权限

root把本来只能超级用户执行的命令赋予普通用户执行。
sudo的操作对象是系统命令

文件基本权限、ACL权限、文件特殊权限、不可改变位权限：都是针对的文件
而sudo是针对系统命令的

sudo使用

# 修改sudo，注意visudo，没有空格
visudo # 实际修改的是/etc/sudoers文件

# 为用户赋予权限
# 用户名  被管理主机的地址=(可使用的身份) 授权命令(绝对路径)
root ALL=(ALL) ALL
# %组名 被管理主机的地址=(可使用的身份) 授权命令(绝对路径)
%wheel ALL=(ALL) ALL

示例1：授权普通用户chencye可以重启服务器

visudo
# 添加chencye ALL=(ALL) /sbin/shutdown -r now
# 配置的是-r，所以user1用户只能执行重启(sudo /sbin/shutdown -r now)，而不能执行关机

# 普通用户执行sudo赋予的命令
su - chencye
sudo -l # 查看可用的sudo命令
sudo /sbin/shutdown -r now

示例2：授权普通用户可以添加其他用户，注意限制修改root用户密码

# 查看添加用户命令绝对路径
whereis useradd
visudo
# 添加新建用户授权，等号后不加(ALL)时，默认为root
# chencye ALL=/usr/sbin/useradd
# 添加修改密码权限，注意限制修改root用户密码
# chencye ALL=/usr/sbin/passwd [A-Za-z]*, !/usr/bin/passwd "", !/usr/bin/passwd root

分配sudo权限时，注意限制权限大小
如1：/usr/sbin/passwd修改root密码
如2: /bin/vi修改用户密码文件/etc/shadow

文件特殊权限

SetUID、SetGID、Sticky BIT都是非常不安全的权限

umask中的第一个值就是设定这个

SetUID

功能
只有可以执行的二进制程序才能设定SUID权限
命令执行者要对该程序拥有x执行权限
命令执行者执行该程序时获得该程序文件属主的身份（在执行程序的过程中灵魂附体为文件的属主）
SetUID权限只在该程序执行过程中有效，也就是说身份改变只在程序执行过程中有效

示例：/usr/bin/passwd
普通用户拥有/usr/bin/passwd文件的执行权限
普通用户在调用passwd命令修改密码时，在执行passwd过程中使用的是root的身份
普通用户执行完passwd命令后，就不具有root身份了
普通用户调用passwd命令时，后面不能跟着用户名

cat命令没有SUID权限，所以普通用户不能查看/etc/shadow文件内容
ll /bin/cat

设定SetSUID方法

# 4代表SUID
chmod 4755 文件名
# 所有者设定SUID
chmod u+s 文件名
# 所属组设定SUID
chmod g+s 文件名
# 其他人设定SUID
chmod o+s 文件名

取消SetSUID方法

chmod 0755 文件名
chmod u-s 文件名
chmod g-s 文件名
chmod o-s 文件名

危险的SetSUID：太危险，不要新加任何SUID权限的
关键目录就严格控制写权限。如/、/usr等
用户的密码设置要严格遵守密码三原则
对系统中默认应该具有SetUID权限的文件作一列表，定时检查有没有这之外的文件被设置了SetUID权限

特殊权限检测脚本

suid_check.sh

#!/bin/bash

# 搜索系统中所有拥有SUID和SGID权限的文件，并保存到临时目录中
find / -perm -4000 -o -perm -2000 > /tmp/setuid.check

for i in $(cat /tmp/setuid.check)
do
    # 与列表对比
    grep $i /root/suid.list > /dev/null

    if [[ $? != 0 ]]; then
        # 如果文件不在列表中，则输出日志到日志文件中
        echo "$i isn't in /root/suid.list!" >> /root/suid_log_$(date +%F)
    fi
done
rm -rf /tmp/setuid.check

find / -perm -4000 -o -perm -2000 > /tmp/setuid.check
# 去除注释与空行 grep -v ^# list | grep -v ^$ 
# 从标准输入读取作为pattern：-f /dev/stdin  或  -f -
grep -v ^# /root/suid.list | grep -v ^$ | grep  -vf /dev/stdin /tmp/setuid.check
rm -rf /tmp/setuid.check

SetGID

SGID可以针对文件也可以针对目录，SUID只能针对文件

SGID针对文件的作用，与SUID比较相似
只有可以执行的二进制程序才能设定SGID权限
命令执行者要对该程序拥有x执行权限
命令执行者执行该程序时，组身份升级为该程序文件的属组
SetUID权限只在该程序执行过程中有效，也就是说组身份改变只在程序执行过程中有效

示例：/usr/bin/locate
/usr/bin/locate是可执行二进制程序，可以赋予SGID
执行用户user1对/usr/bin/locate命令拥有执行权限x
执行/usr/bin/locate命令时，组身份会升级为slocate组，而slocate组对/var/lib/mlocate/mlocate.db数据库拥有r权限，所以普通用户可以使用locate命令查询mlocate.db数据库
命令结束，user1用户的组身份返回为user1组

SetGID针对目录的作用
普通用户必须对目录拥有r和x权限，才能进入目录
普通用户在此目录的有效组（一个用户可以有多个组）会变成此目录的属组
若普通用户对此目录拥有w权限时，新创建的文件的默认属组都是这个目录的属组

示例

# root操作
mkdir /tmp/test
chmod 777 /tmp/test
su - chencye
touch /tmp/test/test2
# 观察test2属组
ll /tmp/test
exit
# root操作
chmod 2777 /tmp/test
# 观察权限变化
ll -d /tmp/test
su - chencye
touch /tmp/test/test3
# 观察test2与test3属组
ll /tmp/test
exit
rm -rf /tmp/test

设定SetGID
chmod 2755 文件名
chmod g+s 文件名

Sticky BIT

SBIT粘着位权限的作用: 只对目录有作用
普通用户对该目录拥有w和x权限，即普通用户可以在此目录拥有写入权限
如果没有粘着位，因为普通用户拥有w权限，所以可以删除此目录下所有文件，包括其他用户建立的文件；一但赋予粘着位，除了root可以删除所有文件，普通用户就算拥有w权限，也只能删除自己建立的文件，而不能删除其他用户建立的文件
不建议手工建立拥有粘着位权限的目录

# root操作
mkdir /home/chencye/sbit
chmod 777 /home/chencye/sbit
touch /home/chencye/sbit/test.txt
su - chencye
# 可以删除
rm -rf /home/chencye/sbit/test.txt  && echo "删除成功"  || echo "删除失败"
exit
# root操作
chmod o+t /home/chencye/sbit
# 观察权限
ll -d /home/chencye/sbit
touch /home/chencye/sbit/test.txt
su - chencye
# 不能删除
rm -rf /home/chencye/sbit/test.txt
exit
rm -rf /home/chencye/sbit

示例： ll -d /tmp

不可改变位权限

chattr [+-=] [选项] 文件或目录名
i: insert 如果是文件，则不允许对文件删除、改名，也不能添加或修改数据；如果是目录，则只能修改目录下文件数据，不允许建立和删除文件。root用户也有效
a: append 如果是文件，则只能在文件增加数据，不能删除也不能修改数据；如果是目录，则只允许在目录中建立和修改文件，不允许删除

lsattr 文件名
lsattr -d 目录名

pam与selinux