-
切換用戶命令 ?su 用戶
賦予普通用戶已超級(jí)管理員的權(quán)限 ：以root身份 visudo 后，添加一行
user All=（All） 命令的絕對(duì)路徑 ?，注釋：第一個(gè)All 指管理者的主機(jī)的IP地址，意思是，只有在指定的IP地址下才有sudo這個(gè)權(quán)限，第二個(gè)All指，可以切換成任意身份，這個(gè)可以直接省略 例如 ? user All=（All） /sbin/shutdown -r now ? 也可以是 user All=/sbin/shutdown -r now
如果為用戶組添加權(quán)限的話 ?%組名 All=（All） /sbin/shutdown -r now ?
普通用戶可以執(zhí)行sudo -l查看可以執(zhí)行的命令?
普通用戶執(zhí)行超級(jí)命令的時(shí)候必須要加 sudo 命令的絕對(duì)路徑 例如 sudo /sbin/shutdown -r now
查看全部 -
遞歸ACL：指在給父目錄賦予權(quán)限的同時(shí)，給已經(jīng)存在于目錄下的文件賦予相同的權(quán)限?
setfacl -m u:用戶名:權(quán)限 ?-R 目錄名? ? ? ? 這里R表示遞歸
注意： a.用遞歸的方式容易導(dǎo)致文件權(quán)限溢出 b.遞歸acl只能用在目錄而不能用于普通文件
默認(rèn)ACL 權(quán)限 ： 給父目錄下將來(lái)新建的文件默認(rèn)賦予父目錄的權(quán)限
setfacl -m d:u:用戶名：權(quán)限 ? 目錄名? ? ? 這里d 表示default
查看全部 -
chattr命令格式（對(duì)root生效）
charrt[+-=][選項(xiàng)]文件或目錄
+:增加權(quán)限?
-：刪除權(quán)限?
=:等于某權(quán)限
i:如果對(duì)文件設(shè)置i屬性,那么不允許對(duì)文件進(jìn)行刪除，改名也不能添加和 修改數(shù)據(jù)；如果對(duì)目錄設(shè)置i屬性，那么只能修改目錄下文件的數(shù)據(jù)，但不能 建立和刪除文件
a:如果對(duì)文件設(shè)置a屬性，那么只能在文件中增加數(shù)據(jù)，但不能刪除也不能修改數(shù)據(jù) 如果對(duì)目錄設(shè)置a屬性，那么只允許在目錄中建立和修改文件，但不允許刪除?
文件用echo >>輸出重定向添加數(shù)據(jù)
lsattr 選項(xiàng) 文件名?
-a 顯示所有文件和目錄?
-d 僅列出目錄本身的屬性
查看全部 -
1.SUID只能對(duì)執(zhí)行文件生效，SGID能對(duì)目錄和執(zhí)行文件生效，SBIT只能對(duì)目錄生效
2.要賦予SBIT 權(quán)限必須給目錄普通用戶賦予7權(quán)限，因此也比較危險(xiǎn)。
3.賦予SBIT權(quán)限： chmod o+t 或者 chmod 1***
4.目錄有SBIT權(quán)限后，任何普通用戶都可以在目錄下新建文件，但是只能刪除自己創(chuàng)建的文件，不允許刪除其它用戶的文件。
5. /tmp/ 目錄默認(rèn)有SBIT權(quán)限
查看全部 -
SetGID針對(duì)文件的作用
只有可執(zhí)行二進(jìn)制程序才能設(shè)定SGID權(quán)限
命令執(zhí)行者要對(duì)該程序擁有x(執(zhí)行)權(quán)限
命令執(zhí)行執(zhí)行程序時(shí)，組身份升級(jí)為該程序文件的屬組
SetGID權(quán)限只在程序執(zhí)行過(guò)程中有效
例子 、usr/bin/locate具有SetGID身份
SetGID針對(duì)目錄的作用
普通用戶必須對(duì)此目錄必須擁有r和x權(quán)限，才能進(jìn)入此目錄
普通用戶在此目錄中的有效組會(huì)變成此目錄的屬組
若普通用戶對(duì)此目錄擁有w權(quán)限,新建的文件的默認(rèn)屬組是這個(gè)目錄的屬組
設(shè)定SetGID
chmod g+s 文件名 chmod 2755 文件名
取消SetGID
chmod g-s 文件名 chmod 0755 文件名
查看全部 -
定期檢查suid和sgid
#!/bin/bash?
find / -perm -4000 -o -perm -2000> /tmp/setuid.check?
for i in $(cat /tmp/setuid.check)?
????do
????grep $i /home/suid.log> /dev/null
????????if [ "$?" != "0" ]
????????then
????????echo "$i isn't in listfile!">>/home/suid_log_$(date +%F)?
????????fi
????done
rm -rf /tmp/setuid.check
查看全部 -
（1）設(shè)定SetUID方法?
chmod 4755 文件名
chmod u+s 文件名?
（2）SetUID功能
1.只有可執(zhí)行二進(jìn)制程序才能設(shè)定SUID權(quán)限?
2.命令執(zhí)行者要對(duì)該程序擁有x(執(zhí)行)權(quán)限（如果當(dāng)前文件沒(méi)有執(zhí)行權(quán)限，著會(huì)出現(xiàn)大S權(quán)限，大S權(quán)限是無(wú)效的，s=S+x，s才是超級(jí)權(quán)限。）
3.命令執(zhí)行者在執(zhí)行該程序時(shí)獲得該程序文件屬主身份
4.SetUID權(quán)限只在程序執(zhí)行過(guò)程中有效
passwd擁有SetUID權(quán)限，所以普通用戶可以修改自己密碼 cat命令沒(méi)有SetUID權(quán)限，所以普通用戶不能查看/etc/shadow文件內(nèi)容
查看全部 -
#授權(quán)普通用戶可以添加其他用戶?
visudo?
#編輯/etc/sudoers文件?
user1 ALL= /usr/sbin/useradd
#sudo賦予普通用戶user1添加用戶的命令
user1 ALL= /usr/bin/passwd
#授權(quán)user1用戶設(shè)定密碼的權(quán)限
#注意：這樣設(shè)置極不安全，因?yàn)閡ser1可以設(shè)置root用戶密碼了，這是不合理的，應(yīng)該按下面這樣寫
user1 ALL= /usr/bin/passwd [A-Za-z]*, !/usr/bin/passwd "", !/usr/bin/passwd root
#說(shuō)明1：[A-Za-z]* ，這是個(gè)正則表達(dá)式，passwd后面的跟的用戶名包括任何字母，*代表字母可以重復(fù)0-N次
#說(shuō)明2：!/usr/bin/passwd ""，！代表取反，這意味著passwd 后面跟的用戶名不能為空,因?yàn)闉榭沾碓O(shè)置自身密碼，而user1執(zhí)行設(shè)置密碼命令時(shí)使用的是root身份
#說(shuō)明3：!/usr/bin/passwd root，！代表取反，這意味著passwd后面不能跟root
#說(shuō)明4：,后面一定要有空格，沒(méi)有空格不生效
#說(shuō)明5：三段代碼順序不能顛倒
#原則：sudo賦予的命令越詳細(xì)，普通用戶的權(quán)限越小，賦予的越簡(jiǎn)單，權(quán)限越大
user1 ALL=/bin/vi #賦予user1使用vi更改任意文件的權(quán)限(甚至包括/etc/shadow 保存用戶名密碼文件).
查看全部 -
切換用戶命令 ?su 用戶
賦予普通用戶已超級(jí)管理員的權(quán)限 ：以root身份 visudo 后，添加一行
user All=（All） 命令的絕對(duì)路徑 ?，注釋：第一個(gè)All 指管理者的主機(jī)的IP地址，意思是，只有在指定的IP地址下才有sudo這個(gè)權(quán)限，第二個(gè)All指，可以切換成任意身份，這個(gè)可以直接省略 例如 ? user All=（All） /sbin/shutdown -r now ? 也可以是 user All=/sbin/shutdown -r now
如果為用戶組添加權(quán)限的話 ?%組名 All=（All） /sbin/shutdown -r now ?
普通用戶可以執(zhí)行sudo -l查看可以執(zhí)行的命令?
普通用戶執(zhí)行超級(jí)命令的時(shí)候必須要加 sudo 命令的絕對(duì)路徑 例如 sudo /sbin/shutdown -r now
查看全部 -
最大有效權(quán)限mask（使用命令getfacl 文件名顯示的結(jié)果中倒數(shù)第二排會(huì)出現(xiàn)mask這個(gè)詞）mask是用來(lái)指定最大有效權(quán)限的。如果我給用戶賦予了acl權(quán)限，是需要和mask的權(quán)限“相與”才能得到用戶的真正權(quán)限。相與是計(jì)算機(jī)中的術(shù)語(yǔ)，皆真方為真，有假便為假。
修改mask值的命令 setfacl -m m:rx 文件
刪除acl權(quán)限的命令 setfacl -x u:用戶名 文件 （刪除指定用戶的acl權(quán)限）
setfacl -x g:組名 文件 （刪除指定用戶的acl權(quán)限）
setfacl -b 文件 （刪除所有的acl權(quán)限）
查看全部 -
getfacl 文件名 ? ? //查看acl權(quán)限；
setfacl 選項(xiàng) 文件名 ? ? //設(shè)定ACL權(quán)限的命令；
選項(xiàng)：
-m：設(shè)定ACL權(quán)限；
-x：刪除指定的ACL權(quán)限；
-b：刪除所有的ACL權(quán)限；
-d：設(shè)定默認(rèn)ACL權(quán)限；
-k：刪除默認(rèn)ACL權(quán)限；
-R：遞歸設(shè)定ACL權(quán)限； 為用戶設(shè)定ACL權(quán)限
setfacl -m u:用戶名:權(quán)限(rwx) 文件名? ?setfacl -m u:hanle1:rwx abc
為用戶組設(shè)定ACL權(quán)限 setfacl -m g:組名:權(quán)限(rwx) 文件名
?
查看全部 -
文件就三個(gè)權(quán)限
所有者權(quán)限 組權(quán)限 其他權(quán)限 有時(shí)候不夠用 這時(shí)候就需要ACL權(quán)限 用來(lái)解決用戶身份不夠的問(wèn)題
查看分區(qū)ACL權(quán)限是否開(kāi)啟
dumpe2fs -h /dev/sda5
#dumpe2fs命令查詢指定分區(qū)詳細(xì)文件系統(tǒng)信息的命令
-h ?僅顯示超級(jí)塊中信息，而不顯示磁盤塊的詳細(xì)信息
文件信息： Default mount options: user_xattr acl 那就說(shuō)明分區(qū)是支持acl的
臨時(shí)開(kāi)啟分區(qū)ACL權(quán)限 mount -o remount,acl /
#重新掛載根分區(qū)，并掛載加入acl權(quán)限
永久開(kāi)啟分區(qū)ACL權(quán)限
vi /etc/fstab UUID=c2ca6f57-b15c-43ea=bca0-f239083d8bd2 / ext4 defaults,acl 1（＃啟動(dòng)是否需要檢測(cè)） 1(#啟動(dòng)是否需要備份) #加入acl
mount -o remount / #重新掛載文件系統(tǒng)或重啟系統(tǒng)，使修改生效
查看全部 -
遞歸ACL：指在給父目錄賦予權(quán)限的同時(shí)，給已經(jīng)存在于目錄下的文件賦予相同的權(quán)限?
setfacl -m u:用戶名:權(quán)限 ?-R 目錄名? ? ? ? 這里R表示遞歸
注意： a.用遞歸的方式容易導(dǎo)致文件權(quán)限溢出 b.遞歸acl只能用在目錄而不能用于普通文件
默認(rèn)ACL 權(quán)限 ： 給父目錄下將來(lái)新建的文件默認(rèn)賦予父目錄的權(quán)限
setfacl -m d:u:用戶名：權(quán)限 ? 目錄名? ? ? 這里d 表示default
查看全部 -
最大有效權(quán)限mask（使用命令getfacl 文件名顯示的結(jié)果中倒數(shù)第二排會(huì)出現(xiàn)mask這個(gè)詞）mask是用來(lái)指定最大有效權(quán)限的。如果我給用戶賦予了acl權(quán)限，是需要和mask的權(quán)限“相與”才能得到用戶的真正權(quán)限。相與是計(jì)算機(jī)中的術(shù)語(yǔ)，皆真方為真，有假便為假。
修改mask值的命令 setfacl -m m:rx 文件
刪除acl權(quán)限的命令 setfacl -x u:用戶名 文件 （刪除指定用戶的acl權(quán)限）
setfacl -x g:組名 文件 （刪除指定用戶的acl權(quán)限）
setfacl -b 文件 （刪除所有的acl權(quán)限）
查看全部 -
getfacl 文件名 ? ? //查看acl權(quán)限；
setfacl 選項(xiàng) 文件名 ? ? //設(shè)定ACL權(quán)限的命令；
選項(xiàng)：
-m：設(shè)定ACL權(quán)限；
-x：刪除指定的ACL權(quán)限；
-b：刪除所有的ACL權(quán)限；
-d：設(shè)定默認(rèn)ACL權(quán)限；
-k：刪除默認(rèn)ACL權(quán)限；
-R：遞歸設(shè)定ACL權(quán)限； 為用戶設(shè)定ACL權(quán)限
setfacl -m u:用戶名:權(quán)限(rwx) 文件名?
為用戶組設(shè)定ACL權(quán)限 setfacl -m g:組名:權(quán)限(rwx) 文件名
查看全部
舉報(bào)