linux系统的suid/guid简单介绍linuxsuidguid

　　我们在前面曾经提到过s u i d和g u i d。这种权限位近年来成为一个棘手的问题。很多系统供应商不允许实现这一位&＃xff0c;或者即使它被置位&＃xff0c;也完全忽略它的存在&＃xff0c;因为它会带来安全性风险。那么人们为何如此大惊小怪呢&＃xff1f;

　　s u i d意味着如果某个用户对属于自己的s h e l l脚本设置了这种权限&＃xff0c;那么其他用户在执行这一脚本时也会具有其属主的相应权限。于是&＃xff0c;如果根用户的某一个脚本设置了这样的权限&＃xff0c;那么其他普通用户在执行它的期间也同样具有根用户的权限。同样的原则也适用于g u i d&＃xff0c;执行相应脚本的用户将具有该文件所属用户组中用户的权限。

　　为什么要使用这种类型的脚本&＃xff1f;这里有一个很好的例子。我管理着几个大型的数据库系统&＃xff0c;而对它们进行备份需要有系统管理权限。我写了几个脚本&＃xff0c;并设置了它们的g u i d&＃xff0c;这样我指定的一些用户只要执行这些脚本就能够完成相应的工作&＃xff0c;而无须以数据库管理员的身份登录&＃xff0c;以免不小心破坏了数据库服务器。通过执行这些脚本&＃xff0c;他们可以完成数据库备份及其他管理任务&＃xff0c;但是在这些脚本运行结束之后&＃xff0c;他们就又回复到他们作为普通用户的权限。

　　有相当一些U N I X命令也设置了s u i d和g u i d。如果想找出这些命令&＃xff0c;可以进入/ b i n或/ s b i n目录&＃xff0c;执行下面的命令&＃xff1a;
　　$ ls -l | grep &＃39;^...s&＃39;
　　上面的命令是用来查找s u i d文件的&＃xff1b;
　　$ ls -l | grep &＃39;^...s..s&＃39;
　　上面的命令是用来查找s u i d和g u i d的。
　　现在我们明白了什么是s u i d&＃xff0c;可是如何设置它呢&＃xff1f;下面就来介绍这个问题。如果希望设置s u i d&＃xff0c;那么就将相应的权限位之前的那一位设置为4&＃xff1b;如果希望设置g u i d&＃xff0c;那么就将相应的权限位之前的那一位设置为2&＃xff1b;如果希望两者都置位&＃xff0c;那么将相应的权限位之前的那一位设置为4&＃43;2。

　　一旦设置了这一位&＃xff0c;一个s将出现在x的位置上。记住&＃xff1a;在设置s u i d或g u i d的同时&＃xff0c;相应的执行权限位必须要被设置。例如&＃xff0c;如果希望设置g u i d&＃xff0c;那么必须要让该用户组具有执行权限。

　　如果想要对文件l o g i n设置s u i d&＃xff0c;它当前所具有的权限为rwx rw- r-- (741)&＃xff0c;需要在使用c h m o d命令时在该权限数字的前面加上一个4&＃xff0c;即chmod 4741&＃xff0c;这将使该文件的权限变为r w srw- r - -。
　　$ chmod 4741 logit

 

设置suid/guid的例子

下面给出几个例子&＃xff1a;

表1-7 设置s u i d / g u i d

 

 

还可以使用符号方式来设置s u i d / g u i d。如果某个文件具有这样的权限&＃xff1a; rwx r-x r- x&＃xff0c;那么可以这样设置其s u i d&＃xff1a;
chmod u&＃43;s
于是该文件的权限将变为&＃xff1a; rws r-x r-x
在查找设置了s u i d的文件时&＃xff0c;没准会看到具有这样权限的文件&＃xff1a;rwS r-x r- x&＃xff0c;其中S为大写。
它表示相应的执行权限位并未被设置&＃xff0c;这是一种没有什么用处的s u i d设置&＃xff0c;可以忽略它的存在。
注意&＃xff0c;c h m o d命令不进行必要的完整性检查&＃xff0c;可以给某一个没用的文件赋予任何权限&＃xff0c;但chmod 命令并不会对所设置的权限组合做什么检查。因此&＃xff0c;不要看到一个文件具有执行权限&＃xff0c;就认为它一定是一个程序或脚本。