Linux 文件特殊权限SetUID、SetGID和Sticky BIT 学习总结

一、前言&＃xff1a;

        前面用了三篇文章总结Linux基本权限、umask默认权限、ACL权限和sudo授权&＃xff0c;由于自身认知的关系&＃xff0c;虽不尽全部&＃xff0c;但也足够详细&＃xff0c;记录下来所学到的一点一点&＃xff0c;希望对看到本文的朋友有所帮助。

        本篇总结Linux权限管理中的文件特殊权限 SUID、SGID和Sticky BIT。

二、文件特殊权限 SetUID、SetGID和Sticky BIT

2.1 SetUID&＃xff08;SUID&＃xff09;

2.1.1 SetUID是什么

• SetUID功能理解&＃xff1a;
  • 必须是可执行的二进制程序&＃xff0c;通俗来讲就是命令&＃xff1b;
  • 命令执行者对该程序具有执行权限&＃xff08;x&＃xff09;&＃xff1b;
  • 命令执行者在执行命令期间&＃xff0c;身份变成所属者身份&＃xff1b;
  • SetUID只在程序执行过程中有效&＃xff0c;程序执行结束即失效。

2.1.2 举例&＃xff1a;普通用户 test 修改自身密码

• 查看用户文件 /etc/passwd 和 /etc/shadow 权限 

[root&＃64;localhost ~]# ll /etc/passwd
-rw-r--r--. 1 root root 1496 5月 1 12:52 /etc/passwd
[root&＃64;localhost ~]# ll /etc/shadow
----------. 1 root root 1190 5月 1 12:53 /etc/shadow默认情况&＃xff0c;普通用户对两个文件只有读权限&＃xff0c;不能修改文件

•  分别查看root用户和test用户  /usr/sbin/passwd 命令权限

[root&＃64;localhost ~]# ll /usr/bin/passwd
-rwsr-xr-x. 1 root root 30768 11月 24 2015 /usr/bin/passwd
[root&＃64;localhost ~]# su - test
[test&＃64;localhost ~]$ ll /usr/bin/passwd
-rwsr-xr-x. 1 root root 30768 11月 24 2015 /usr/bin/passwd普通用户test对于passwd命令是有执行权限&＃xff08;x&＃xff09;的&＃xff0c;所以可以修改密码

•  test 用户 修改自己的密码 

[test&＃64;localhost ~]$ passwd
更改用户 test 的密码 。
为 test 更改 STRESS 密码。
&＃xff08;当前&＃xff09;UNIX 密码&＃xff1a;
新的 密码&＃xff1a;
重新输入新的 密码&＃xff1a;
passwd&＃xff1a; 所有的身份验证令牌已经成功更新。我们看到&＃xff0c;密码修改成功。

•  我们来看看这个修改密码的过程都经历了什么
  • test用户对 /usr/bin/passwd 命令拥有执行权限&＃xff08;x&＃xff09;&＃xff1b;
  • /usr/bin/passwd 命令所属者执行权限为 “s”&＃xff0c;说明具有SetUID权限。
  • test 用户化身为 /usr/bin/passwd 命令的拥有者 root&＃xff1b;
  • root 是管理员&＃xff0c;拥有最大权限&＃xff0c;所以能够更改 /etc/shadow 文件&＃xff1b;
  • 修改完之后&＃xff0c;所有者收回权限。

2.1.3 赋予SetUID 

• 赋予格式&＃xff1a;chmod u[&＃43;-]s 命令绝对路径
  • 参数
    • &＃43; &＃xff1a;增加SetUID权限
    •  - &＃xff1a;删除SetUID权限

• 举例&＃xff1a;给 /usr/bin/vim 设置SetUID权限&＃xff0c;并删除相应权限

[root&＃64;localhost ~]# ll /usr/bin/vim
-rwxr-xr-x. 1 root root 2324712 7月 24 2015 /usr/bin/vim
[root&＃64;localhost ~]# chmod u&＃43;s /usr/bin/vim
[root&＃64;localhost ~]# ll /usr/bin/vim
-rwsr-xr-x. 1 root root 2324712 7月 24 2015 /usr/bin/vim
[root&＃64;localhost ~]# chmod u-s /usr/bin/vim
[root&＃64;localhost ~]# ll /usr/bin/vim
-rwxr-xr-x. 1 root root 2324712 7月 24 2015 /usr/bin/vim


2.1.4 建议

• 当命令被设置 SetUID 权限后&＃xff0c;命令执行者化身为root用户&＃xff0c;就能使用该命令为所欲为&＃xff0c;所以慎重赋予。
• 具体建议
  • 控制关键目录的权限授予&＃xff0c;比如“/”&＃xff0c;“/usr/”等&＃xff1b;
  • 最好不要人为添加 SetUID权限&＃xff1b;
  • 按密码三原则设置密码&＃xff0c;定期修改密码&＃xff0c;比如三个月、六个月等&＃xff1b;
  • 定时检查非系统自带的 SUID权限 的文件。

2.1.5 检测 SUID 和 SGID 的脚本

• 建立系统自带 SUID 和 SGID权限的文件 suid.list

[root&＃64;localhost ~]# find / -perm -4000 -o -perm -2000 > suid.list
[root&＃64;localhost ~]# ls
anaconda-ks.cfg install.log install.log.syslog suidcheck.sh suid.list test
[root&＃64;localhost ~]# cat suid.list
/lib64/dbus-1/dbus-daemon-launch-helper
/sbin/netreport
/sbin/mount.nfs
/sbin/pam_timestamp_check
/sbin/unix_chkpwd
/bin/mount
/bin/umount
/bin/cgexec
/bin/su
/bin/cgclassify
/bin/ping6
/bin/ping
/usr/libexec/abrt-action-install-debuginfo-to-abrt-cache
/usr/libexec/polkit-1/polkit-agent-helper-1
/usr/libexec/openssh/ssh-keysign
/usr/libexec/utempter/utempter
/usr/libexec/pt_chown
/usr/sbin/userhelper
/usr/sbin/usernetctl
/usr/sbin/postdrop
/usr/sbin/suexec
/usr/sbin/postqueue
/usr/bin/ssh-agent
/usr/bin/staprun
/usr/bin/gpasswd
/usr/bin/chage
/usr/bin/chsh
/usr/bin/passwd
/usr/bin/locate
/usr/bin/write
/usr/bin/wall
/usr/bin/at
/usr/bin/chfn
/usr/bin/ksu
/usr/bin/newgrp
/usr/bin/pkexec
/usr/bin/crontab
/usr/bin/sudo

• 写检测脚本&＃xff0c;命名为 suidcheck.sh

[root&＃64;localhost ~]# vi suidcheck.sh 1 #!/bin/bash2 # Author:gaobailing (Email:375196239&＃64;qq.com)3 4 #搜索系统中的所有拥有SUID和SGID的文件&＃xff0c;并保存在临时文件中5 find / -perm -4000 -o -perm -2000 > /tmp/setsuid.check6 7 #做循环&＃xff0c;每次循环取出文件中的文件名8 for i in $(cat /tmp/setsuid.check)9 do10 #比对这个文件名是否在模版文件中11 grep $i /root/suid.list > /dev/null12 #如果在&＃xff0c;不报错13 if [ "$?" !&＃61; "0" ]14 #如果不在&＃xff0c;则报错&＃xff0c;将报错文件输出到日志文件&＃xff0c;并在控制台打印出来15 then16 echo "$i isn&＃39;t in suid.listfile" | tee -a /root/suid_log_$(date &＃43;%F)17 fi18 done19 # 删除临时文件20 rm -rf /tmp/setsuid.check


• 验证脚本

#手动给 /usr/bin/vim 赋予 SetUID权限
[root&＃64;localhost ~]# whereis vim
vim: /usr/bin/vim /usr/share/vim /usr/share/man/man1/vim.1.gz
[root&＃64;localhost ~]# ll /usr/bin/vim
-rwxr-xr-x. 1 root root 2324712 7月 24 2015 /usr/bin/vim
[root&＃64;localhost ~]# chmod u&＃43;s /usr/bin/vim
[root&＃64;localhost ~]# ll /usr/bin/vim
-rwsr-xr-x. 1 root root 2324712 7月 24 2015 /usr/bin/vim#运行脚本检测
[root&＃64;localhost ~]# ./suidcheck.sh
/usr/bin/vim isn&＃39;t in suid.listfile。[root&＃64;localhost ~]# cat suid_log_2022-05-02
/usr/bin/vim isn&＃39;t in suid.listfile#报错&＃xff0c;系统中自带 SetUID权限的文件&＃xff0c;不含/usr/bin/vim&＃xff0c;所以输出到控制台&＃xff0c;并写入了日志里面#收回 /usr/bin/vim 的 SetUID权限
[root&＃64;localhost ~]# chmod u-s /usr/bin/vim
[root&＃64;localhost ~]# ll /usr/bin/vim
-rwxr-xr-x. 1 root root 2324712 7月 24 2015 /usr/bin/vim


        说明&＃xff1a;SUID是比较重要的特殊权限&＃xff0c;不要轻易给其他命令赋予&＃xff0c;否则会出现无法预料的问题&＃xff0c;请慎重。        

2.2 SetGID&＃xff08;SGID&＃xff09;

• 针对文件
  • 必须是可执行的二进制程序&＃xff0c;通俗来讲就是命令&＃xff1b;
  • 命令执行者对该程序具有执行权限&＃xff08;x&＃xff09;&＃xff1b;
  • 命令执行者在执行命令期间&＃xff0c;组身份变成所属组身份&＃xff1b;
  • SetUID只在程序执行过程中有效&＃xff0c;程序执行结束即失效。
• 设置粘着位命令格式
  • chmod g[&＃43;-]t 文件

举例&＃xff1a;

[root&＃64;localhost ~]# ll /var/lib/mlocate/mlocate.db
-rw-r-----. 1 root slocate 1668362 5月 2 03:26 /var/lib/mlocate/mlocate.db
[root&＃64;localhost ~]# ll /usr/bin/locate
-rwx--s--x. 1 root slocate 38464 3月 12 2015 /usr/bin/locate


•  我们来看看执行 locate命令 之后&＃xff0c;都经历了那些&＃xff1a;
  • root用户对  /usr/bin/locate 命令拥有执行权限&＃xff08;x&＃xff09;&＃xff1b;
  • /usr/bin/locate 命令所属组有执行权限为 “s”&＃xff0c;说明具有SetGID权限。
  • root 组化身为 /usr/bin/locate 命令的所属组 slocate&＃xff1b;
  • 所属组 slocate&＃xff0c;对 /var/lib/mlocate/mlocate.db 有读权限&＃xff1b;
  • 所以root用户能够查看 /var/lib/mlocate/mlocate.db&＃xff1b;
  • 执行结束之后&＃xff0c;所属组收回权限。

• 针对目录
  • 普通用户对此目录必须有 r 和 x 权限&＃xff0c;才能进入此目录&＃xff1b;
  • 普通用户有效组化身为此目录所属组&＃xff1b;
  • 普通用户对此目录有 w 权限&＃xff0c;新建文件默认属组就是就是这个目录的属组
• 设置粘着位命令格式
  • chmod g[&＃43;-]t 目录

举例&＃xff1a;略&＃xff08;后期补充&＃xff09;&＃xff0c;如有需要&＃xff0c;可以留言。

2.3 Sticky BIT &＃xff08;SBIT&＃xff09;

• 中文翻译&＃xff1a;粘着位 
  • 有效范围&＃xff1a;只针对目录有效
  • 普通用户对此目录有 w 和 x 权限&＃xff0c;即普通用户拥有写入权限
  • 一旦设置粘着位&＃xff0c;用户只能删除自己的文件&＃xff0c;不能删除其他用户的文件
  • 一旦没有设置粘着位&＃xff0c;用户能删除自己的文件&＃xff0c;其他用户也能删除。
• 设置粘着位命令格式
  • chmod o[&＃43;-]t 目录

2.4 设定文件特殊权限

• 表示方法&＃xff1a;
  • 4 &＃xff1a; 代表SUID
  • 2 &＃xff1a; 代表SGID
  • 1 &＃xff1a; 代表SBIT

[root&＃64;localhost tmp]# chmod 4755 test
[root&＃64;localhost tmp]# chmod 2755 test
[root&＃64;localhost tmp]# chmod 1755 test
[root&＃64;localhost tmp]# ll -d test
drwsr-sr-t. 2 root root 4096 5月 2 06:11 test


三、小结

• 知识点总结
  • SUID、SGID、SBIT不要认为赋予&＃xff1b;
  • 命令执行者执行二进制程序过程
  • 设置 SUID、SGID 和 SBIT

推荐阅读

        Linux 权限管理_sudo授权 学习总结&＃xff08;三&＃xff09;

        Linux 权限管理_ACL权限 学习总结&＃xff08;二&＃xff09;

        Linux 权限管理_基本权限和umask默认权限 学习总结&＃xff08;一&＃xff09;

如果对你有所帮助&＃xff0c;请点赞&＃43;评论&＃43;收藏&＃xff0c;三连支持一下博主&＃xff0c;感激不尽&＃64;