特殊权限 SUID、SGID、Sticky

最新推荐文章于 2024-06-17 18:08:24 发布
最新推荐文章于 2024-06-17 18:08:24 发布
阅读量303 收藏 2
点赞数 1
文章标签： 开发工具 操作系统
原文链接：http://www.cnblogs.com/Q--T/p/7864795.html
版权

 

一. 前提 

本篇主要讲解SUID, SGID, Sticky三个权限的基本原理和应用.

 

为什么要使用特殊权限?

比如系统中假如有超过四类人然而每一类人都需要一种独特权限.只有三种独特权限的基础权限系统就会明显不够用.

特殊权限可以扩展系统基础权限的功能,使得linux权限更加强大灵活.

 

在理解特殊权限之前,需要先具备几个关于安全上下文的认知:

 

前提：进程有属主和属组；文件有属主和属组；

(1) 任何一个可执行程序文件能不能启动为进程：取决于发起者对程序文件是否拥有执行权限；

(2) 启动为进程之后，其进程的属主为发起者；进程的属组为发起者所属的组；

(3) 进程访问文件时的权限，取决于进程的发起者：

(a) 进程的发起者，同文件的属主：则应用文件属主权限；

(b) 进程的发起者，属于文件的属组；则应用文件属组权限；

(c) 应用文件“其它”权限； 

二. SUID 

  1. 权限设定方法：

    1. 字母表示法:

chmod u+s FILE...

chmod u-s FILE...

 

  1. 数字表示法:

chmod 4755 FILE 添加SUID权限到二进制程序文件(添加到DIR无意义)

 

在普通三位数字权限位之前,用4代表添加的SUID位

 

chmod 0xxx .... 可以删除文件的SUID(无法删除目录的SUID)  

  1. 文件权限表示:

　　　　　　# ll f1
　　　　　　-rwsr-xr-x. 1 root root 0 Nov 17 20:18 f1

 　　　　　　文件属主的x权限,用s代替.表示被设置了SUID

　　　　　　如果属主位没有x权限,会显示为大写S,表示有故障(权限无效) 

  1. SUID相关说明:

    1. 启动为进程之后，其进程的属主为原程序文件的属主；
    2. 只能作用在二进制程序上,不能作用在脚本上,且设置在目录上无意义 ;
    3. 执行suid权限的程序时,此用户将继承此程序的所有者权限;  

  1. SUID工作原理

 

  1. 环境前提:
    1. linux中有一个二进制程序cat,属主属组均为root
    2. linux中有一个系统文件/etc/shadow,属主属组均为root
    3. 我们创建一个普通用户叫user1
    4. user1具有对cat的执行权限
    5. user1 不具有对/etc/shadow的任何权限

 

  1. 默认情况下
    1. user1执行cat,系统创建一个cat进程,进程的属主属组取程序发起者,也就是user1:user1
    2. cat进程访问/etc/shadow,由于进程属主属组是user1:user1,与/etc/shadow的属组属主都不匹配,所以被拒绝访问.

 

  1. 给cat设置SUID之后
    1. user1执行cat.系统创建一个cat进程,进程的属主取cat的属主,属组取程序发起者,就是root:user1
    2. cat进程访问/etc/shadow,由于进程属主是root,与/etc/shadow的属主匹配,所以被允许访问.  

  1. 举例说明:

passwd命令是linux系统中用来修改密码的命令.系统中所有用户都可以使用.

而passwd命令改密码的行为是通过修改/etc/shadow文件来实现.

 

看一下/etc/shadow的文件权限:

　　　　# ll /etc/shadow
　　　　----------. 1 root root 1771 Nov 16 17:06 /etc/shadow 

 

可见/etc/shadow对普通用户没有任何权限.

所以普通用户默认无法使用文本编辑器打开或者编辑这个文件.

 

那为什么通过passwd这个命令就可以编辑呢?

 

用ls命令查看passwd命令的源文件信息:

　　　　# ls -l /usr/bin/passwd
　　　　-rwsr-xr-x. 1 root root 30768 2月  22 2012 /usr/bin/passwd 

 

我们发现passwd这个程序的属主位的执行位不是x而是s,说明passwd被设置了特殊权限SUID.

 

于是普通用户运行passwd命令,系统创建的passwd进程的属主由默认为"程序发起者"变为了passwd的属主

而passwd的属主是root,所以普通用户其实是在用root的权限修改/etc/shadow文件.最后passwd命令执行结束,passwd进程被关闭. 

 

  1. 做个实验:

给命令vim添加SUID,可以让普通用户自己把自己变为超级用户.

 

看一下vim的原权限

　　　　#ll /usr/bin/vim
　　　　-rwxr-xr-x. 1 root root 2289640 Aug  2 08:45 /usr/bin/vim 

 

给vim加个SUID

　　　　# chmod u+s /usr/bin/vim 

 

权限变为

　　　　-rwsr-xr-x. 1 root root 2289640 Aug  2 08:45 /usr/bin/vim

 

 

现在用普通用户登录

　　　　# su quintin 

 

尝试使用vim编辑系统账户文件/etc/passwd

　　　　$ vim /etc/passwd 

 

找到自己的用户名一行

 

  

修改第三列自己的uid为0

root的uid不用改.

 

然后保存,提示只读文件,使用w!强制保存,成功!

   

我们知道普通用户quintin对vim是有执行权限的,而对/etc/passwd则没有编辑权限.

 

通常情况下quintin启动vim后,系统会创建一个以当前用户quintin为属主属组的vim进程,

此时vim进程的属主属组为quintin:quintin,由于无论是属主还是属组都不具有对/etc/passwd的编辑权限,

所以这个vim进程无权编辑/etc/passwd.

 

而给/usr/bin/vim设置了SUID之后,quintin或任何用户启动vim程序时,

系统创建的vim进程的属主则是取了/usr/bin/vim这个程序文件自身的属主root,

所以此时vim进程的属主属组为root:quintin. 系统检查发现正好匹配了/etc/passwd的属主,于是放行vim进程.

 

其他文本编辑器同理.

 

退出vim并重新登陆quintin帐户

 

这时发现命令提示符已完全变为root,而且系统认为我就是root

 

 因为linux只通过uid判断超级管理员,而quintin帐户把自己的uid变成了超级管理员一样的0,

所以重新登陆之后,quintin具有了root的身份.

 

测试:

找一个属主属组都为root且other位无w的文件

　　　　# ll /app/f11
　　　　-rw-r--r--.  1 root root   0 Nov 17 20:18 f11 

 

改个名字

　　　　# mv f11 f1 

 成功.

 

三.  SGID 

  1. 权限设定方法：

    1. 字母表示法

chmod g+s DIR/FILE...

chmod g-s DIR/FILE...

 

  1. 数字表示法 :

chmod 2755  DIR/FILE 添加SGID到目录或文件

在普通数字权限位前,用2代表添加SGID位

chmod 0755 DIR/FILE 删除文件的SGID,(目录不受影响)

chmod 755 DIR/FILE 同上 

  1. 文件权限表示:

　　　　# ll /app/f1
　　　　-rwxr-sr-x. 1 root root 0 Nov 17 20:18 /app/f1 

文件属组的x权限,用s代替.表示被设置了SGID

如果属组位没有x权限,会显示为大写S,表示有故障(权限无效) 

 

  1. SGID相关说明:

    1. 作用在二进制程序上时:

执行sgid权限的程序时,此用户将继承此程序的所属组权限

  1. 作用于目录上时:

此文件夹下所有用户新建文件都自动继承此目录的用户组. 

  1. SGID实例:

    1. 作用在二进制程序上时,原理同SUID,只是由user位变为group位.
    2. 作用于目录上时演示:

 

普通帐户quintin在/tmp中创建一个目录叫quintindir,添加SGID.权限777

 

　　　　　　　　$ chmod 2777 quintindir/
　　　　　　　　$ ll -d quintindir/
　　　　　　　　drwxrwsrwx. 2 quintin quintin 6 Nov 18 14:42 quintindir/ 

 

切换到普通用户user1,在quintindir目录中创建一个文件和一个目录

　　　　　　　　$ touch user1file
　　　　　　　　$ mkdir user1dir
　　　　　　　　$ ll
　　　　　　　　-rw-rw-r--. 1 user1 quintin 0 Nov 18 14:47 user1file
　　　　　　　　drwxrwsr-x. 2 user1 quintin 6 Nov 18 14:47 user1dir 

 

结果显示,user1在quintindir目录下创建的文件和目录都自动继承了quintindir的属组

而且新目录的权限也继承了SGID.

所以设定了SGID的目录中的所有新建文件和目录都会自动属于quintin组.

 

 

四. Sticky粘滞位 

  1. 权限设定方法：

    1. 字母表示法:

chmod o+t DIR...

chmod o-t DIR...

chmod +t DIR...

  1. 数字表示法:

chmod 1755 DIR

在普通数字权限位前,用1代表添加Sticky位 

  1. 文件权限表示:

       

　　　　　　　　 # ll -d tmp
      　　　　  drwxrwxrwt. 2 root root 19 Nov 17 20:02 tmp 

 

        文件other位的x权限,用t代替.表示被设置了Sticky

        如果other位没有x权限,会显示为大写T,表示有故障(权限无效) 

  1. Sticky相关说明:

    1. 对于一个多人可写的目录，如果设置了sticky，则每个用户仅能删除和改名自己的文件或目录；
    2. 只能作用在目录上.普通文件设置无意义,且会被linux内核忽略
    3. 用户在设置Sticky权限的目录下新建的目录不会自动继承Sticky权限 

  1. Sticky实例: 

  1. 目的:

我希望在系统中创建一个很多用户可以共同使用的目录,但是要求用户之间不能互相删除改变对方的文件. 

  1. 实现:

root用户先创建一个777权限目录/app/tmp

普通用户quintin和wang分别在其中创建几个文件和目录

 

 

这时候有个问题,就是目录中的任何用户都可以随意删除其他人的文件.

所以root要给/tmp这个文件夹设定一个Sticky位.

　　　　　　　　# chmod 1777 tmp
　　　　　　　　# ll -d tmp
　　　　　　　　drwxrwxrwt. 5 root root 97 Nov 20 00:49 tmp 

 

设定完毕可见目录tmp的other权限中的x位已经显示为t.说明已设定成功. 

  1. 测试

切换到quintin用户,进入/app/tmp目录

尝试删除或改名用户wang的文件或目录

 

改名文件

　　　　　　[quintin@centos7 /app/tmp]$ mv wangf1 aaa
　　　　　　mv: cannot move ‘wangf1’ to ‘aaa’: Operation not permitted 

 

改名目录

　　　　　　[quintin@centos7 /app/tmp]$ mv wangd1 bbb
　　　　　　mv: cannot move ‘wangd1’ to ‘bbb’: Operation not permitted 

 

移动文件

　　　　　　[quintin@centos7 /app/tmp]$ mv wangf1 qdir1/
　　　　　　mv: cannot move ‘wangf1’ to ‘qdir1/wangf1’: Operation not permitted 

 

删除文件

　　　　　　[quintin@centos7 /app/tmp]$ rm -f wangf1
　　　　　　rm: cannot remove ‘wangf1’: Operation not permitted 

 

删除目录

　　　　　　[quintin@centos7 /app/tmp]$ rm -f wangf1
　　　　　　rm: cannot remove ‘wangf1’: Operation not permitted 

 

以上所有操作均提示Operation not permitted,表明Sticky权限已发挥作用.

  1. 提示:

普通用户在设定了Sticky位的目录下创建的子目录不会继承这个Sticky权限,所以要注意设定好自己目录的权限. 

 

五. 总结: 

  1. 作用范围及功能:

    1. SUID:作用于文件(二进制程序)

此用户将继承此程序的所有者权限

 

  1. SGID:作用于文件(二进制程序)和目录
    1. 对于文件:

此用户将继承此程序的所属组权限.

  1. 对于目录:

此文件夹下所有用户新建文件都自动继承此目录的用户组.

 

  1. Sticky:作用于目录

设定后,目录中的用户只能删除、移动或改名自己的文件或目录

 

 

二进制文件

目录

SUID

此用户将继承此程序的所有者权限

无意义

SGID

此用户将继承此程序的所属组权限

此目录下所有用户新建文件都自动继承此目录的用户组

Sticky

无意义

目录中每个用户仅能删除、移动或改名自己的文件或目录

 

  1. 添加权限方法及注意事项:

 

  1. 字母权限法很灵活,无论目录还是文件都可以随意添加删除超级权限

chmod u+s ... 添加SUID

chmod g+s ... 添加SGID

chmod +s ...同时添加SUID和SGID

chmod -s ...同时删除SUID和SGID

chmod o+t ...添加Sticky

chmod +t ...同上

 

  1. 数字权限表示法添加/删除时:
    1. 数字权限法可以同时删除文件的所有三种超级权限

chmod 0755 FILE

chmod  755 FILE

  1. 数字权限法只能删除目录的Sticky.不能删除目录的SUID和SGID.
  2. 数字权限法每次只能设置一种超级权限.添加权限时:

对于文件,会删除掉原有的其他超级权限.

对于目录,添加SUID或SGID时,Sticky会被删除.

 

  1. 所有表示为大写字母的权限均为无效(故障)权限,因为缺少了相应的x权限.

 

  1. 几个权限位映射参考：

SUID: user, 占据属主的执行权限位；

s: 属主拥有x权限

S：属主没有x权限

SGID: group,  占据group的执行权限位；

s: group拥有x权限

S：group没有x权限

Sticky: other, 占据ohter的执行权限位；

t: other拥有x权限

T：other没有x权限

 

转载于:https://www.cnblogs.com/Q--T/p/7864795.html

aokaoqi1145
关注
[Linux命令]-13-如何设置文件特殊权限
qq_38296022的博客
04-28 458
引言 这篇文章介绍Linux文件系统三个特殊权限suid，sgid，sticky。 文章目录 0×1.如何查看当前用户创建文件默认权限 0×2.如何给文件添加suid权限 0×3.如何给文件夹添加sgid权限 0×4.如何给文件夹添加sticky权限 0×1.如何查看当前用户创建文件默认权限 Linux在创建文件和文件夹时会默认分配一组权限，这个权限是根据系统的umask值来确定的，请看下面的实例： #查看普通用户的umask值 qing@qingsword.com:~$ umask 22 #使用普通
23.文件特殊权限之SUID权限、SGID权限、Sticky BIT权限和ACL权限
小鹏linux的博客
01-23 2606
在多用户多任务的Linux系统里，每个进程的运行都与运行的用户和组相关联。除了进程识别号（PID）以外，每个进程还有另外4个用户和用户组相关的识别号。他们分别是：实际用户识别号（RUID）、实际组识别号（RGID）、有效用 户识别号（EUID）、有效组识别号（EGID）。EUID和EGID的作用在于确定一个进程对其访问的文件的权限和优先权。一般情况下， EUID、EGID与RUID和RGID相同。设置了SUID和SGID情况除外。
权限分析之SUID、SGID、sticky
weixin_33939380的博客
07-29 87
SUIDUID我们都知道是用户标识，可以使用命令查看当前用户idid-uusername//显示当前用户的id，其中0表示管理员（一般为root）/etc/shadow文件。对任何人都不开放权限，除了root用户[root@CentOS7~]#ll/etc/shadow ----------.1rootroot1309Jul2911:32/etc/...
特殊权限SUID、SGID和sticky功能的介绍及其应用
weixin_34226182的博客
06-22 354
SUID的介绍我们知道当我们以某一个用户去运行二进制程序时，就会相应的产生一个进程，而这个进程也有属主和属组，默认这个进程的属主和属组为当前用户和当前用户的基本组。但是不知道有没有人发现到/etc/shadow这个文件的属主和属组都是root，但是这个文件的权限为rw-------,也就是说只有root用户才有读和写的权限，其他用户什么权限也没有。但是我们知道/etc/sha...
linux sgid用法,Linux SetGID（SGID）文件特殊权限用法详解
weixin_30082367的博客
05-13 227
前面学习了 SetUID，那么，什么是 SetGID 呢？很简单，当 s 权限位于所属组的 x 权限位时，就被称为SetGID，简称SGID 特殊权限。例如：[root@localhost ~]# ll /usr/bin/locate-rwx–s–x. 1 root slocate 35612 8月24 2010 /usr/bin/locate与 SUID 不同的是，SGID 既可以对文件进行...
特殊权限SUID SGID SBIT.doc
04-26
特殊权限SUID SGID SBIT SUID（Set UID）是一种特殊权限，只能应用于二进制程序。它的主要功能是：在执行该程序的过程中，执行者将具有该程序拥有者的权限。这种权限仅在执行该程序的过程中有效。 SUID 的限制和...
linux基础教程之特殊权限SUID、SGID和SBIT
09-15
普通用户和管理员通常了解基础的读(r)、写(w)和执行(x)权限，但Linux还提供了三种特殊的权限：SUID (Set User ID)、SGID (Set Group ID) 和SBIT (Sticky Bit)。这些特殊权限在特定情况下能赋予用户超出他们原本权限...
linux权限标志位sgid,Linux上文件的特殊权限SUID,SGID,SBIT详解
weixin_31792645的博客
04-30 1050
文件的特殊权限SGID, SUID..SBIT大家都知道文件和目录的权限最常见的有三个.可读(r)..可写(w)..可执行(x)..它们的级别分别是4..2..1..我们有时也会发现有些文件 所属主的权限上带有一个s的标志位.目录的所属组上也带有s标志位.很多人不理解这是为什么....下面我们举例来看一下...#ls -l /usr/bin/passwd-rwsr-xr-x 1 root roo...
linux下SUID,SGID,sticky特殊权限及ACL详解
weixin_33696822的博客
04-16 142
linux下SUID,SGID,sticky特殊权限及ACL详解一.特殊权限SUID: 运行指定程序时，相应进程的属主是程序文件自身的属主，而不是启动者；chmod u+s 文件 增加suid位chmod u-s 文件 删除suid位ls -l /usr/bin/passwd 是一个典型例子，任何人都可以修改自己的密码如果文件本身原来就有执行权限，则SUID显示为小s；否则显...
linux文件的特殊权限
南风喃的博客
08-26 448
1.suid,sgid,sticky介绍 2.特殊权限对应的数值 3.实例 3.1、suid权限 3.2、sgid权限 3.3、stickybit权限 4.文件扩展ACL 4.1给文件设置acl权限 4.2给目录设置acl权限 4.3去掉acl权限 5.chattr与lsattr 5.1命令介绍 5.2用法与参数 5.3例子 1.suid,sgid,sticky介绍 ...
linux文件特殊权限
weixin_69538701的博客
05-27 235
1.touch：创建新文件 正在上传…重新上传取消 2.mkdir.rmdir使用 ①、mkdir:创建新目录 正在上传…重新上传取消 mkdir -p:递归创建所有子目录 正在上传…重新上传取消 ②、rmdir：删除空目录，可递归删除多级目录但必须全是空目录 删除前： 正在上传…重新上传取消 删除后：（删除dir01) 正在上传…重新上传取消 递归删除： 正在上传…重新上传取消 9、cp：复制文件或目录 复制前： 正在上传…重新上传取消 复制...
【Linux权限】Linux特殊权限及基本权限的数字表示法
最新发布
2301_80182689的博客
06-17 780
Linux特殊权限及基本权限的数字表示法
Linux为文件设置特殊权限,linux中的文件特殊权限
weixin_29195137的博客
05-07 1017
一、SetUID：1、只有可以执行的二进制程序才能设定SUID权限2、命令执行者要对该程序拥有执行权限3、命令执行者在执行该程序时获得该程序文件属主的身份4、etUID权限只在该程序执行过程中有效，也就是说身份改变只在程序执行过程中有效passwd命令是可执行的文件并且拥有SetUID权限，所以普通用户可以修改自己的密码，修改密码其实就是修改/etc/shadow文件，普通用户对于这个文件是没有任...
Linux的三种权限含义,转-linux 三种特殊权限简介
weixin_39600366的博客
05-16 717
三种特殊权限简介SUID当一个设置了SUID位的可执行文件被执行时，该文件将以所有者的身份运行，也就是说无论谁来执行这个文件，他都有文件所有者的特权。如果所有者是 root 的话，那么执行人就有超级用户的特权了。SGID当一个设置了SGID 位的可执行文件运行时，该文件将具有所属组的特权， 任意存取整个组所能使用的系统资源。若一个目录设置了SGID，则所有被复制到这个目录下的文件， 其所属的组都会...
Linux特殊权限命令
zhaojianyin
03-08 2140
Linux特殊权限命令 1.ACL权限： 文件就三个权限，所有者权限、组权限、其他权限 有时候不够用 这时候就需要ACL权限 用来解决用户身份不够的问题 1.查询acl权限是否开启 dumpe2fs   根分区  dump2fs是查看分区文件的详细信息 【选项 】-h  仅显示超级块中的信息，不现实磁盘块组的信息 如果没有开启acl权限 1> 使
linux特殊权限chattr,文件、目录的特殊权限setuid、setgid、sticky、chattr、lsattr
weixin_30095343的博客
05-01 169
设置这些特殊权限有两种方法：一是使用 chmod ugo的方式，另一个是使用数字的方式。通常的读写执行权限是3位数字，特殊权限用4位数字，而且用 第一位 数字来表示特殊权限。比如 chmod 4775 file。那么第一位数字 4 就是特殊权限 suidsetuid, 命令是:chmod u+s some_command或者chmod 4665 some_command设置 setgid 命令是 ...
5.4.4、文件特殊权限（SUID、SGID 和 SBIT）的设置
融码一生：专注 Python、C/C++、Linux、机器学习 & 深度学习、NLP、算法领域分享
04-05 453
文件特殊权限（SUID、SGID 和 SBIT）的设置
设置、修改、查看文件特殊权限suid、sgid及sticky
04-01
3. 设置sticky权限： 命令格式：chmod +t dirname 说明：设置用户在目录下创建文件时，只有文件的拥有者和超级用户才能删除或重命名该文件。 4. 查看文件特殊权限： 命令格式：ls -l filename 说明：使用ls命令...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值