具有 SUID/SGID 权限的指令执行状态
SUID 的权限其实与进程的相关性非常的大!为什么呢?先来看看 SUID 的程序是如何被一般用户 执行，且具有什么特色呢?
- SUID 权限仅对二进制程序(binary program)有效;
- 执行者对于该程序需要具有 x 的可执行权限;
- 本权限仅在执行该程序的过程中有效 (run-time);
- 执行者将具有该程序拥有者 (owner) 的权限。
所以说，整个 SUID 的权限会生效是由于『具有该权限的程序被触发』，而我们知道一个程序被触 发会变成进程， 所以啰，执行者可以具有程序拥有者的权限就是在该程序变成进程的那个时候。
你或许那时候会觉得很奇怪，为啥执行了 passwd 后你就具 有 root 的权限呢?不都是一般使用者执行的吗? 这是因为你在触发 passwd 后，会取得一个新的进 程与 PID，该 PID 产生时透过 SUID 来给予该 PID 特殊的权限设定啦! 我们使用 dmtsai 登入系 统且执行 passwd 后，透过工作控制来理解一下!
[dmtsai@study ~]$ passwd
Changing password for user dmtsai.
Changing password for dmtsai
(current) UNIX password: <==这里按下 [ctrl]-z 并且按下 [enter]
[1]+ Stopped passwd
[dmtsai@study ~]$ pstree -uA
systemd-+-ModemManager---2*[{ModemManager}]
....(中间省略)....
|-sshd---sshd---sshd(dmtsai)---bash-+-passwd(root)
| `-pstree
....(底下省略)....
从上表的结果我们可以发现，底线的部分是属于 dmtsai 这个一般账号的权限，特殊字体的则是 root 的权限! 但你看到了， passwd 确实是由 bash 衍生出来的!不过就是权限不一样!透过这样的解 析， 你也会比较清楚为何不同程序所产生的权限不同了吧!这是由于『SUID 程序运作过程中产生 的进程』的关系!
/proc/* 代表的意义
我们之前提到的所谓的进程都是在内存当中嘛!而内存当中的数据又都是写入到 /proc/* 这个 目录下的，所以啰，我们当然可以直接观察 /proc 这个目录当中的文件! 如果你观察过 /proc 这 个目录的话，应该会发现他有点像这样:
root@study ~]# ll /proc
dr-xr-xr-x. 8 root root 0 Aug 4 18:46 1
dr-xr-xr-x. 8 root root 0 Aug 4 18:46 10
dr-xr-xr-x. 8 root root 0 Aug 4 18:47 10548
....(中間省略)....
-r--r--r--. 1 root root 0 Aug 5 17:48 uptime
-r--r--r--. 1 root root 0 Aug 5 17:48 version
-r--------. 1 root root 0 Aug 5 17:48 vmallocinfo
-r--r--r--. 1 root root 0 Aug 5 17:48 vmstat
-r--r--r--. 1 root root 0 Aug 5 17:48 zoneinfo
基本上，目前主机上面的各个进程的 PID 都是以目录的型态存在于 /proc 当中。 举例来说，我们 开机所执行的第一支程序 systemd 他的 PID 是 1 ， 这个 PID 的所有相关信息都写入在 /proc/1/* 当中!若我们直接观察 PID 为 1 的数据好了，他有点像这样:
[root@study ~]# ll
dr-xr-xr-x. 2 root root 0 Aug 4 19:25 attr
-rw-r--r--. 1 root root 0 Aug 4 19:25 autogroup
-r--------. 1 root root 0 Aug 4 19:25 auxv
-r--r--r--. 1 root root 0 Aug 4 18:46 cgroup
--w-------. 1 root root 0 Aug 4 19:25 clear_refs
-r--r--r--. root 0 Aug 4 18:46 cmdline <==就是指令串
-r--------. root 0 Aug 4 18:46 environ <==一些环境变量
lrwxrwxrwx. root 0 Aug 4 18:46 exe
....(以下省略)....
里面的数据还挺多的，不过，比较有趣的其实是两个文件，分别是:
-
cmdline:这个进程被启动的指令串;
-
environ:这个进程的环境变量内容。
如果你查阅一下 cmdline 的话，就会发现:
[root@study ~]# cat /proc/1/cmdline
/usr/lib/systemd/systemd--switched-root--system--deserialize24
就是这个指令、选项与参数启动 systemd 的啦!这还是跟某个特定的 PID 有关的内容呢，如果是针 对整个 Linux 系统相关的参数呢?那就是在 /proc 目录底下的文件啦!相关的文件与对应的内容是 这样的:
| 档名 | 文件内容 |
|---|---|
| /proc/cmdline | 加载 kernel 时所下达的相关指令与参数!查阅此文件，可了解指令是如何启动的! |
| /proc/cpuinfo | 本机的 CPU 的相关信息，包含频率、类型与运算功能等 |
| /proc/devices | 这个文件记录了系统各个主要装置的主要装置代号，与 mknod 有关呢! |
| /proc/filesystems | 目前系统已经加载的文件系统啰! |
| /proc/interrupts | 目前系统上面的 IRQ 分配状态 |
| /proc/ioports | 目前系统上面各个装置所配置的 I/O 地址。 |
| /proc/kcore | 这个就是内存的大小啦!好大对吧!但是不要读他啦! |
| /proc/loadavg | 还记得 top 以及 uptime 吧?没错!上头的三个平均数值就是记录在此! |
| /proc/meminfo | 使用 free 列出的内存信息，嘿嘿!在这里也能够查阅到! |
| /proc/modules | 目前我们的 Linux 已经加载的模块列表，也可以想成是驱动程序啦! |
| /proc/mounts | 系统已经挂载的数据，就是用 mount 这个指令呼叫出来的数据啦! |
| /proc/swaps | 到底系统挂加载的内存在哪里?呵呵!使用掉的 partition 就记录在此啦! |
| proc/partitions | 使用 fdisk -l 会出现目前所有的 partition 吧?在这个文件当中也有纪录喔! |
| /proc/uptime | 就是用 uptime 的时候，会出现的信息啦! |
| /proc/version | 核心的版本，就是用 uname -a 显示的内容啦! |
| /proc/bus/* | 一些总线的装置，还有 USB 的装置也记录在此喔! |
查询已开启文件或已执行进程开启之文件
- fuser:藉由文件(或文件系统)找出正在使用该文件的进程
有的时候我想要知道我的进程到底在这次启动过程中开启了多少文件，可以利用 fuser 来观察啦!举 例来说，你如果卸除时发现系统通知:『 device is busy 』，那表示这个文件系统正在忙碌中， 表
示有某支进程有利用到该文件系统啦!那么你就可以利用 fuser 来追踪啰!fuser 语法有点像这样:
[root@study ~]# fuser [-umv] [-k [i] [-signal]] file/dir
选项与参数:
-u :除了进程的 PID 之外，同时列出该进程的拥有者;
-m :后面接的那个档名会主动的上提到该文件系统的最顶层，对 umount 不成功很有效!
-v :可以列出每个文件与进程还有指令的完整相关性!
-k :找出使用该文件/目录的 PID ，并试图以 SIGKILL 这个讯号给予该 PID;
-i :必须与 -k 配合，在删除 PID 之前会先询问使用者意愿!
-signal:例如 -1 -15 等等，若不加的话，预设是 SIGKILL (-9) 啰!
范例一:找出目前所在目录的使用 PID/所属账号/权限 为何?
[root@study ~]# fuser -uv .
USER PID ACCESS COMMAND
/root: root 13888 ..c.. (root)bash
root 31743 ..c.. (root)bash
结果为『.』底下有两个 PID 分别为 13888, 31743 的进程，该进程属于 root 且指令为 bash 。 比较有趣的是那个 ACCESS 的项目，那个项目代表的意义为:
- c :此进程在当前的目录下(非次目录);
- e :可被触发为执行状态;
- f :是一个被开启的文件;
- r :代表顶层目录 (root directory);
- F :该文件被开启了，不过在等待回应中;
- m :可能为分享的动态函式库;
那如果你想要查阅某个文件系统底下有多少进程正在占用该文件系统时，那个 -m 的选项就很有帮 助了!让我们来做几个简单的测试，包括实体的文件系统挂载与 /proc 这个虚拟文件系统的内容，看 看有多少的进程对这些挂载点或其他目录的使用状态吧!
范例二:找到所有使用到 /proc 这个文件系统的进程吧!
[root@study ~]# fuser -uv /proc
/proc: root kernel mount (root)/proc
rtkit 768 .rc.. (rtkit)rtkit-daemon
# 数据量还不会很多，虽然这个目录很繁忙~没关系!我们可以继续这样作，看看其他的进程!
[root@study ~]# fuser -mvu /proc
USER PID ACCESS COMMAND
/proc: root kernel mount (root)/proc
root 1 f.... (root)systemd
root 2 ...e. (root)kthreadd
.....(底下省略).....
# 有这几支进程在进行 /proc 文件系统的存取喔!这样清楚了吗?
范例三:找到所有使用到 /home 这个文件系统的进程吧!
[root@study ~]# echo $$
31743 # 先确认一下，自己的 bash PID 号码吧!
[root@study ~]# cd /home
[root@study home]# fuser -muv .
USER PID ACCESS COMMAND
/home: root kernel mount (root)/home
dmtsai 31535 ..c.. (dmtsai)bash
root 31571 ..c.. (root)passwd
root 31737 ..c.. (root)sudo
root 31743 ..c.. (root)bash # 果然，自己的 PID 在啊！
[root@study home]# cd ~
[root@study ~]# umount /home
umount: /home: target is busy.
(In some cases useful info about processes that use
the device is found by lsof(8) or fuser(1))
# 从 fuser 的结果可以知道，总共有五只 process 在该目录下运作，那即使 root 离开了 /home，
# 当然还是无法 umount 的!那要怎办?哈哈!可以透过如下方法一个一个删除~
[root@study ~]# fuser -mki /home
/home: 31535c 31571c 31737c # 你会发现， PID 跟上面查到的相同!
Kill process 31535 ? (y/N) # 这里会问你要不要删除!当然不要乱删除啦!通通取消!
既然可以针对整个文件系统，那么能不能仅针对单一文件啊?当然可以啰!看一下底下的案例先:
范例四:找到 /run 底下属于 FIFO 类型的文件，并且找出存取该文件的进程
[root@study ~]# find /run -type p
.....(前面省略).....
/run/systemd/sessions/165.ref
/run/systemd/sessions/1.ref
/run/systemd/sessions/c1.ref # 随便抓个项目!就是这个好了!来测试一下!
[root@study ~]# fuser -uv /run/systemd/sessions/c1.ref
USER PID ACCESS COMMAND
/run/systemd/sessions/c1.ref:
root 763 f.... (root)systemd-logind
root 5450 F.... (root)gdm-session-wor
# 通常系统的 FIFO 文件都会放置到 /run 底下，透过这个方式来追踪该文件被存取的 process!
# 也能够晓得系统有多忙碌
透过这个 fuser 我们可以找出使用该文件、目录的进程，藉以观察
- lsof :列出被进程所开启的文件档名
fuser 是由文件或者装置去找出使用该文件或装置的进程，反过来说，如何查出某个进程开启 或者使用的文件与装置呢?呼呼!那就是使用 lsof 啰~
[root@study ~]# lsof [-aUu] [+d]
选项与参数:
-a :多项数据需要『同时成立』才显示出结果时!
-U :仅列出 Unix like 系统的 socket 文件类型;
-u :后面接 username，列出该使用者相关进程所开启的文件;
+d :后面接目录，亦即找出某个目录底下已经被开启的文件!
范例一:列出目前系统上面所有已经被开启的文件与装置:
[root@study ~]# lsof
COMMAND PID TID USER FD TYPE DEVICE SIZE/OFF NODE NAME
systemd 1 root cwd DIR 253,0 4096 128 /
systemd 1 root rtd DIR 253,0 4096 128 /
systemd 1 root txt REG 253,0 1230920 967763 /usr/lib/systemd/systemd
....(底下省略)....
# 注意到了吗?是的，在预设的情况下， lsof 会将目前系统上面已经开启的
# 文件全部列出来~所以，画面多的吓人啊!您可以注意到，第一个文件 systemd 执行的
# 地方就在根目录，而根目录，嘿嘿!所在的 inode 也有显示出来喔!
范例二:仅列出关于 root 的所有进程开启的 socket 文件
[root@study ~]# lsof -u root -a -U
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
systemd 1 root 3u unix 0xffff8800b7756580 0t0 13715 socket
systemd 1 root 7u unix 0xffff8800b7755a40 0t0 1902 @/org/freedesktop/systemd1/notify
systemd 1 root 9u unix 0xffff8800b7756d00 0t0 1903 /run/systemd/private
.....(中間省略).....
Xorg 4496 root 1u unix 0xffff8800ab107480 0t0 25981 @/tmp/.X11-unix/X0
Xorg 4496 root 3u unix 0xffff8800ab107840 0t0 25982 /tmp/.X11-unix/X0
Xorg 4496 root 16u unix 0xffff8800b7754f00 0t0 25174 @/tmp/.X11-unix/X0
.....(底下省略).....
# 注意到那个 -a 吧!如果你分别输入 lsof -u root 及 lsof -U ，会有啥信息?
# 使用 lsof -u root -U 及 lsof -u root -a -U ，都不同啦!
# -a 的用途就是在解决同时需要两个项目都成立时啊! ^_^
范例三:请列出目前系统上面所有的被启动的周边装置
[root@study ~]# lsof +d /dev
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
systemd 1 root 0u CHR 1,3 0t0 1028 /dev/null
systemd 1 root 1u CHR 1,3 0t0 1028 /dev/null
# 看吧!因为装置都在 /dev 里面嘛!所以啰，使用搜寻目录即可啊!
范例四:秀出属于 root 的 bash 这支程序所开启的文件
root@study ~]# lsof -u root | grep bash
ksmtuned 781 root txt REG 253,0 960384 33867220 /usr/bin/bash
bash 13888 root cwd DIR 253,0 4096 50331777 /root
bash 13888 root rtd DIR 253,0 4096 128 /
bash 13888 root txt REG 253,0 960384 33867220 /usr/bin/bash
bash 13888 root mem REG 253,0 106065056 17331169 /usr/lib/locale/locale-archive
....(底下省略)....
- pidof :找出某支正在执行的程序的 PID
[root@study ~]# pidof [-sx] program_name
选项与参数:
-s :仅列出一个 PID 而不列出所有的 PID
-x :同时列出该 program name 可能的 PPID 那个进程的 PID
范例一:列出目前系统上面 systemd 以及 rsyslogd 这两个程序的 PID
[root@study ~]# pidof systemd rsyslogd
1 742
# 理论上，应该会有两个 PID 才对。上面的显示也是出现了两个 PID 喔。
# 分别是 systemd 及 rsyslogd 这两支程序的 PID 啦。