-
設(shè)置acl權(quán)限： mkdiv av 創(chuàng)建目錄 useradd tony 創(chuàng)建用戶 groupadd stu 創(chuàng)建用戶組 chown tony：stu av 修改av目錄的所有者和所有組查看全部
-
acl權(quán)限解決用戶權(quán)限不夠的問題，（所有者，所屬組，其他人）。查看全部
-
【Sticky BIT粘著位作用】 #粘著位目前只對(duì)目錄有效 #普通用戶對(duì)該目錄擁有w和x權(quán)限，即普通用戶可以在此目錄擁有寫入權(quán)限 #如果沒有粘著位，因?yàn)槠胀ㄓ脩魮碛衱權(quán)限，所以可刪除此目錄下所有文件，包括其他用戶建立的文件，一旦賦予了粘著位，除了root可以刪除所有文件，普通用戶即使擁有w權(quán)限，也只能刪除自己建立的文件，但是不能刪除其他用戶建立的文件。 #不建議手工建立擁有粘著位的目錄 【設(shè)定粘著位】 第一種：chmod 1755 文件名 第二種：chmod o+t 文件名 【取消SGID方法】 第一種：chmod 0755 文件名 第二種：chmod o-t 文件名 #/tmp/默認(rèn)就擁有SBIT權(quán)限 #SBIT因?yàn)橐x予7權(quán)限，所以極危險(xiǎn)，慎用，慎用！查看全部
-
【SetGID對(duì)文件的作用】 #只有可執(zhí)行的文件才能設(shè)定SGID權(quán)限 #命令執(zhí)行者要對(duì)該程序擁有x(執(zhí)行）權(quán)限 #命令執(zhí)行者在執(zhí)行該程序時(shí)獲得該程序文件屬組的身份 #SetGID權(quán)限只在該程序執(zhí)行過程中有效，也就是說組身份改變只在程序執(zhí)行過程中有效 例： #/usr/bin/locate是可執(zhí)行的文件，可賦予SGID #用戶user1對(duì)l/usr/bin/locate命令擁有執(zhí)行權(quán)限 #用戶user1對(duì)mlocate.db數(shù)據(jù)庫(kù)沒有任何權(quán)限 #user1執(zhí)行l(wèi)ocate命令時(shí)，組身份升級(jí)為slocate組，而slocate組對(duì)/var/lib/mlocate/mlocate.db數(shù)據(jù)庫(kù)擁有r權(quán)限，所以普通用戶user1可以使用locate命令查詢mlocate.db數(shù)據(jù)庫(kù) #命令結(jié)束，user1用戶的組身份返回為user1組 【SGID針對(duì)目錄的作用】 #普通用戶必須對(duì)此目錄擁有r和x權(quán)限，才能進(jìn)入此目錄 #普通用戶在此目錄中的有效組會(huì)變成此目錄的屬組 #若普通用戶對(duì)此目錄擁有w權(quán)限時(shí)，新建的文件的默認(rèn)屬組是這個(gè)目錄的屬組 #SGID和SUID的區(qū)別是SUID只能對(duì)文件設(shè)定，SGID對(duì)文件和目錄都可以 【設(shè)定SGID的方法】 第一種：chmod 2755 文件名 第二種：chmod g+s 文件名 【取消SGID方法】 第一種：chmod 0755 文件名 第二種：chmod g-s 文件名查看全部
-
【設(shè)定SetUID的方法】 第1種方法：chmod 4755 文件名 #4代表SUID 第2種方法：chmod u+s 文件名 【取消SetUID的方法】 第1種方法：chmod 0755 文件名 #0代表取消SUID 第2種方法：chmod u-s 文件名 【非常危險(xiǎn)的SetUID】 #關(guān)鍵目錄應(yīng)嚴(yán)格控制寫權(quán)限。比如"/"，"/usr"等 #用戶的密碼設(shè)置要嚴(yán)格遵守密碼三原則（復(fù)雜性、易記憶、時(shí)效性） #對(duì)系統(tǒng)中默認(rèn)應(yīng)該具有SetUID權(quán)限的文件作一個(gè)列表，定時(shí)檢查有沒有之外的文件被設(shè)置了SetUID權(quán)限。可通過編寫一個(gè)shell腳本實(shí)現(xiàn)。 #先通過find / -perm -4000 -o -perm -2000 > /root/suid.list生成一個(gè)模板文件 #!/bin/bash find / -perm -4000 -o -perm -2000 > /tmp/suid.check #搜索系統(tǒng)中所有擁有SUID和SGID的文件，并臨時(shí)保存到suid.check文件中 for i in $(cat /tmp/suid.check) #做循環(huán)，每次循環(huán)取出文件中的文件名 do grep $i /root/suid.list > /dev/null #比對(duì)這個(gè)文件名是否在suid.list模板文件中，> /dev/null代表輸出結(jié)果不看，扔到回收站 if [ "$?" != "0" ] #檢測(cè)上一個(gè)命令的返回值，如果不為0，證明上一個(gè)命令報(bào)錯(cuò) then echo "$i isn't in listfile." >> /root/suid_log_$(date +%F) #如果文件名不在模板文件中，則輸出錯(cuò)誤信息，并把報(bào)錯(cuò)保存到日志中 fi done rm -rf /tmp/suid.check #刪除臨時(shí)文件查看全部
-
【權(quán)限之 SetUID、SetGID、Sticky BIT】 #這些權(quán)限盡量不要修改，特別是SUID SGID 【SetUID】 ##SUID的作用：讓本來沒有相應(yīng)權(quán)限的用戶運(yùn)行這個(gè)程序時(shí)，可以訪問沒有權(quán)限訪問的資源 #只有可執(zhí)行的文件才能設(shè)定SUID權(quán)限 #命令執(zhí)行者要對(duì)該程序擁有x(執(zhí)行）權(quán)限 #命令執(zhí)行者在執(zhí)行該程序時(shí)獲得該程序文件屬主的身份 #SetUID權(quán)限只在該程序執(zhí)行過程中有效，也就是說身份改變只在程序執(zhí)行過程中有效 例: -rwsr-xr-x 表示SUID和所有者權(quán)限中可執(zhí)行位x被設(shè)置 -rwSr--r-- 表示SUID被設(shè)置，但所有者權(quán)限中可執(zhí)行位x沒有被設(shè)置 例： ll /usr/bin/passwd -rwsr-xr-x. 1 root root 25980 2月 22 2012 /usr/bin/passwd #屬主權(quán)限是rws(s=S+x),passwd命令擁有SetUID權(quán)限，所以普通用戶可以執(zhí)行passwd命令修改自己的密碼 ll /bin/cat -rwxr-xr-x. 1 root root 44112 10月 15 2014 /bin/cat #屬主權(quán)限是rwx，cat命令沒有SetUID權(quán)限，所以普通用戶不能查看/etc/shadow文件內(nèi)容 ll /bin/vi -rwxr-xr-x. 1 root root 845932 7月 24 10:19 /bin/vi #屬主權(quán)限是rwx，vi命令沒有SetUID權(quán)限，所以普通用戶不能使用vi編輯/etc/shadow文件內(nèi)容查看全部
-
SetUID的功能查看全部
-
【sudo權(quán)限】 例2： #授權(quán)普通用戶可以添加其他用戶 visudo #編輯/etc/sudoers文件 user1 ALL= /usr/sbin/useradd #sudo賦予普通用戶user1添加用戶的命令 user1 ALL= /usr/bin/passwd #授權(quán)user1用戶設(shè)定密碼的權(quán)限 #注意：這樣設(shè)置極不安全，因?yàn)閡ser1可以設(shè)置root用戶密碼了，這是不合理的，應(yīng)該按下面這樣寫 user1 ALL= /usr/bin/passwd [A-Za-z]*, !/usr/bin/passwd "", !/usr/bin/passwd root #說明1：[A-Za-z]* ，這是個(gè)正則表達(dá)式，passwd后面的跟的用戶名包括任何字母，*代表字母可以重復(fù)0-N次 #說明2：!/usr/bin/passwd ""，！代表取反，這意味著passwd 后面跟的用戶名不能為空,因?yàn)闉榭沾碓O(shè)置自身密碼，而user1執(zhí)行設(shè)置密碼命令時(shí)使用的是root身份 #說明3：!/usr/bin/passwd root，！代表取反，這意味著passwd后面不能跟root #說明4：,后面一定要有空格，沒有空格不生效 #說明5：三段代碼順序不能顛倒 #原則：sudo賦予的命令越詳細(xì)，普通用戶的權(quán)限越小，賦予的越簡(jiǎn)單，權(quán)限越大查看全部
-
sudo使用查看全部
-
sudo使用查看全部
-
【sudo權(quán)限】 #sudo作用：root把本來只能超級(jí)用戶執(zhí)行的命令賦予普通用戶執(zhí)行 #sudo的操作對(duì)象是系統(tǒng)命令 【sudo的使用】 visudo #實(shí)際修改的是/etc/sudoers文件 roo ALL=(ALL) ALL #用戶名 被管理主機(jī)的地址=（可使用的身份） 授權(quán)命令（絕對(duì)路徑） #(ALL)一般都是(ALL)，也可以忽略不寫 %wheel ALL=(ALL) ALL #%組名 被管理主機(jī)的地址=（可使用的身份） 授權(quán)命令（絕對(duì)路徑） #sudo賦予和執(zhí)行命令的時(shí)候都必須輸入絕對(duì)路徑 例1： #授權(quán)普通用戶可以重啟服務(wù)器 visudo #編輯/etc/sudoers文件 user1 ALL= /sbin/shutdown -r now #sudo賦予普通用戶user1重啟的命令 su - user1 #切換到user1用戶 sudo -l #查看user1可用的sudo命令 sudo /sbin/shutdown -r now #user1執(zhí)行sudo賦予的重啟命令查看全部
-
給用戶組設(shè)定ACL權(quán)限查看全部
-
設(shè)定ACL權(quán)限命令查看全部
-
【遞歸acl權(quán)限】 setfacl -m u:用戶名:權(quán)限 -R 目錄名 #遞歸是父目錄在設(shè)定acl權(quán)限時(shí)，所有的子文件和子目錄也會(huì)擁有相同的acl權(quán)限 #盡量少用，因?yàn)閳?zhí)行權(quán)限對(duì)目錄和文件作用不同，會(huì)產(chǎn)生權(quán)限溢出 #遞歸只針對(duì)賦予權(quán)限時(shí)，目錄下已經(jīng)有的子文件和子目錄，之后新建的不繼承 #默認(rèn)acl權(quán)限可以設(shè)定新建的子文件和子目錄繼承acl權(quán)限（不包括目錄內(nèi)已經(jīng)有的子文件和子目錄） 【默認(rèn)acl權(quán)限】 setfacl -m d:u:用戶名:權(quán)限 -R 目錄名 默認(rèn)acl權(quán)限的作用是如果給父目錄設(shè)定的了默認(rèn)acl權(quán)限，那么父目錄中所有新建的子文件（不包含已有的子文件和子目錄）都會(huì)繼承父目錄的acl權(quán)限 #遞歸ACL權(quán)限針對(duì)目錄中已有的子文件和子目錄，默認(rèn)ACL權(quán)限針對(duì)目錄中以后新建的子文件和子目錄 #遞歸和默認(rèn)都只對(duì)目錄賦予權(quán)限，對(duì)文件是沒有意義的查看全部
-
【最大有效權(quán)限mask】 mask是用來指定最大有效權(quán)限的。如果給用戶賦予了acl權(quán)限，是需要和mask的權(quán)限“邏輯與”才能得到用戶的真正權(quán)限。 #getfacl命令可以查看mask權(quán)限值 #一般情況mask值為rwx 【修改最大有效權(quán)限】 setfacl -m m:權(quán)限 文件名 #例如：setfacl -m m:rx wja #設(shè)定wja文件mask權(quán)限為r-x 【刪除acl權(quán)限】 setfacl -x u:用戶名 文件名 #刪除指定用戶的acl權(quán)限 setfacl -x g:組名 文件名 #刪除指定用戶組的acl權(quán)限 setfacl -b 文件名 #刪除文件的所有用戶和組的acl權(quán)限查看全部
舉報(bào)
0/150
提交
取消