SGID简介:
1.只有可执行二进制程序才能设置SGID权限
2.命令执行者要对该程序拥有执行(x)权限
3.命令执行者在执行程序的时候,组身份升级为该可执行程序文件的属组
4.SGID权限只在该程序执行过程中有效,也就是组身份只在程序执行过程中发生改变,命令结束用户组身份恢复.
以文件查找命令locate为例说明
1 [vampire@LAMP ~]$ ll /usr/bin/locate 2 -rwx--s--x. 1 root slocate 35548 Sep 24 2012 /usr/bin/locate //拥有SGID权限,普通用户执行该命令时,组身份会切换到slocte
使用locate命令查找文件时,实际是在/var/lib/mlocate/mlocate.db数据库中查找
1 [vampire@LAMP ~]$ ll /var/lib/ 2 total 140 3 -rw-r--r--. 1 root root 728 May 20 09:32 logrotate.status 4 drwxr-xr-x. 2 root root 4096 May 2 2016 misc 5 drwxr-x---. 2 root slocate 4096 May 20 09:32 mlocate //可以看到属主和所属组成员才能看到该目录下的文件 6 7 [vampire@LAMP ~]$ cd /var/lib/mlocate/ 8 -bash: cd: /var/lib/mlocate/: Permission denied 9 [vampire@LAMP ~]$ ll /var/lib/mlocate/ 10 ls: cannot open directory /var/lib/mlocate/: Permission denied
普通用户使用locate命令可以查找文件是因为执行locate命令时组身份切换到该目录所属组slocate
SGID针对目录的作用
1.普通用户必须对该目录拥有rx权限,才能进入此目录
2.普通用户在该目录中的有效组会变成该目录的属组
3.若普通用户对此目录拥有w(可创建文件)权限时,新创建的文件的默认属组是这个目录的属组
1 [root@LAMP tmp]# chmod 2775 test 2 You have new mail in /var/spool/mail/root 3 [root@LAMP tmp]# ll 4 total 20 5 drwxrwsr-x 2 root root 4096 May 20 16:24 test
将身份切换为vampire
1 [vampire@LAMP ~]$ cd /tmp/test/ 2 [vampire@LAMP test]$ ll 3 total 0 4 [vampire@LAMP test]$ touch one.file //普通用户vampire没有权限在test目录中创建文件,上面给test目录赋予2775,普通用户只有rx权限,没有w权限 5 touch: cannot touch `one.file': Permission denied
将test目录权限修改为2777
1 [root@LAMP ~]# chmod 2777 /tmp/test/ 2 [root@LAMP ~]# ll /tmp/test/ 3 total 0 4 [root@LAMP ~]# ll /tmp/ 5 total 20 6 drwxrwsrwx 2 root root 4096 May 20 16:24 test
再将身份切换为vampire创建文件
1 [vampire@LAMP ~]$ cd /tmp/test/ 2 [vampire@LAMP test]$ touch one.file 3 [vampire@LAMP test]$ ll 4 total 0 5 -rw-rw-r-- 1 vampire root 0 May 20 16:37 one.file //新建文件的默认属组是这个目录(test)的属组(root)