Linux的有效用户和实际用户及安全问题

主要参考：
Linux进程的实际用户ID和有效用户ID
实际用户和有效用户
无死角理解保存设置用户ID，设置用户ID位，有效用户ID，实际用户ID

---

一. 概念

在Unix进程中涉及多个用户ID和用户组ID，包括如下：

1. 实际用户ID和实际用户组ID：标识我是谁。也就是登录用户的uid和gid，比如我的Linux以simon登录，在Linux运行的所有的命令的实际用户ID都是simon的uid，实际用户组ID都是simon的gid（可以用id命令查看）。
2. 有效用户ID和有效用户组ID：进程用来决定我们对资源的访问权限。一般情况下，有效用户ID等于实际用户ID，有效用户组ID等于实际用户组ID。当设置-用户-ID（SUID）位设置，则有效用户ID等于文件的所有者的uid，而不是实际用户ID；同样，如果设置了设置-用户组-ID（SGID）位，则有效用户组ID等于文件所有者的gid，而不是实际用户组ID。

以上来自：APUE（《高级UNIX环境编程》）

Unix系统通过进程的有效用户ID和有效用户组ID来决定进程对系统资源的访问权限。

用简单的话来说，实际用户是你的身份证号，临时用户是你的学号，你登录系统时的用户就是实际用户，当你以有效用户执行某程序时，执行期间的用户为有效用户，也就是说你在读大学的时候你的学号就是你的有效用户，你获取了有效用户的所有权限，也就是说你在大学中获得了学生的所有权限。

二. 修改密码的例子

从无死角理解保存设置用户ID，设置用户ID位，有效用户ID，实际用户ID中密码修改的例子再来详细理解一下：

*我们知道用户的密码都是存放在/etc/shadow文件下，我们看下这个文件的权限
root@debian:~# ls -l /etc/shadow
-rw-r—– 1 root shadow 8013 Sep 8 14:58 /etc/shadow
假如我是一个普通用户，显然我是可以修改我的密码的，通过passwd命令，无可厚非。自己修改自己的密码肯定是被允许的。
但是仔细想想你会发现不对啊，我作为一个普通用户登录后，我的实际用户ID和有效用户ID都是我自己的UID。从上面可以看出，显然我不具有修改/etc/shadow文件的权限，那我执行passwd命令时怎么改我的密码的呢？
在上面1，基本概念中我们知道决定我们权限的是执行操作时的有效用户ID，所有我们在执行passwd命令时，我们的有效用户ID肯定被修改了。OK，我们看下面：
root@debian:~# ls -l /usr/bin/passwd
-rwsr-xr-x 1 root root 43280 Feb 16 2011 /usr/bin/passwd
我们看到了一个s，对的，它就是我们的保存设置用户ID位，上面我们说过这个位的作用就是修改有效用户ID，那我们来看看他是如何修改执行passwd命令时的有效用户ID的。
首先我们看下命令执行的过程，当普通用户执行passwd命令时，shell会fork出一个子进程，此时进程有效用户ID还是普通用户ID，然后exec程序执行/usr/bin/passwd。通过上面的表我们会知道，exec发现/usr/bin/passwd有SUID位，于是会把进程的有效用户ID设成设置成文件用户ID，显然就是root, 此时这个进程都获得了root权限, 得到了读写/etc/shadow文件的权限, 从而普通用户可完成密码的修改。exec进程退出后会恢复普通用户的EUID为普通用户ID.这样就不会使普通用户一直拥有root权限。*

三. 代码分析

以上概念还是有些模糊，我们依程序方式进行解释。

#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>

int main(int argc, char const *argv[])
{
    printf("uid = %d\n", getuid());
    printf("gid = %d\n", getgid());
    printf("euid = %d\n", geteuid());
    printf("egid = %d\n", getegid());

    return 0;
}

上端程序为打印当前用户的实际用户、实际用户组、有效用户、有效用户组。我们以root用户编译它：

可见，默认情况下有效用户（组）和实际用户（组）是等价的。
我们可以设置suid位(chmod u+s u)来让其他执行者临时获得该文件拥有者的权限，体现为其有效用户为文件拥有者，结果如上图。这样该用户就在该程序运行期间获取了文件拥有者的权限。

我们可以使用该权限来进行其他操作。

比如一个文件test.txt的拥有者为root，权限分配如下图：

只有文件拥有者root拥有对文件写的操作，其他用户没有。我们运行如下程序：

#include <stdio.h>
#include <stdlib.h>
#include <unistd.h>

int main(int argc, char const *argv[])
{
    printf("uid = %d\n", getuid());
    printf("gid = %d\n", getgid());
    printf("euid = %d\n", geteuid());
    printf("egid = %d\n", getegid());

    FILE *file = fopen("/Users/ambition/Desktop/text.txt", "w");
    if (!file)
    {
        perror("open error");
        fclose(file);
        return -1;
    }
    fwrite("a", 1, 1, file);
    fclose(file);
    return 0;
}

向文件中写一个字符a。以root权限编译该程序：

可见以普通用户运行该程序无法向文件中写入内容，而文件拥有者root用户可以。
为了让普通用户在执行该程序时临时获得文件拥有者的权限，我们可以设置u2程序的suid位，让用户的有效用户为文件拥有者（root）并获得其权限（w）：

此时以普通用户运行该程序时的有效用户为root，同时获得了root权限，并可以对属于root的文件test.txt进行写操作。

总结一下：

1.SUID的作用仅针对于二进制程序。2.使用者（假设为我吧）要对该二进制程序有”x”权限3.”以文件拥有者的身份”只在执行过程中有效（执行过程中我获得了该程序owner的权限）例子就好比
/usr/bin/passwd 这个二进制文件。它的权限是 -rwsr-xr-x
，我不是所有者，我具有”x”权限，我执行它时，获得了它的所有者（即root）的权限，所以在该二进制程序执行时，我可以用它来读到我平时是没有权限访问的
/etc/shadow 文件（-r——–），从而能更改我自己的密码。

作者：AnewG 链接：https://www.zhihu.com/question/21919900/answer/19813615
来源：知乎 著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。

四. 安全问题

细心的小伙伴可能发现了，在执行一个程序时通过有效用户的方式获得了该程序的拥有者权限，并可以以此权限在整个系统中“为所欲为”，这是很危险的。试想如果你本意是为了让其他用户在不用切换用户的前提下获得某文件的拥有者权限，可是其他人却在有效用户“有效”的过程中对你其他文件进行操作，会不会很危险？尤其是有效用户为root时对系统安全造成巨大威胁。

在阅读MQTT源码过程中，我发现该程序中对用户有降权（drop privileges）操作，即判断其有效用户为root用户时，将该用户的有效用户或实际用户切换为普通用户，其大致思路总结如下：

int main(int argc, char const *argv[])
{
    int uid = getuid();
    int gid = getgid();
    int euid = geteuid();
    int egid = getegid();

    printf("修改前\n");
    printf("uid = %d\n", uid);
    printf("gid = %d\n", gid);
    printf("euid = %d\n", euid);
    printf("egid = %d\n", egid);

    int temporary = 1;

    if (geteuid() == 0)
    {
    /* do something */
        if(temporary) {
            if(setegid(gid) == -1 || seteuid(uid) == -1) {
                perror("seteuid or setegid error");
                return -1;
            }
        }else {
            if(setgid(gid) == -1 || setuid(uid) == -1) {
                perror("setuid or setgid error");
                return -1;
            }
        }   
        printf("修改后\n");
        printf("uid = %d\n", getuid());
        printf("gid = %d\n", getgid());
        printf("euid = %d\n", geteuid());
        printf("egid = %d\n", getegid());

    }

    return 0;
}

当有效用户位root时，执行完必要的操作后将用户降权为实际用户，否则不做其他操作。执行结果如下：

---

其它

这只是我在阅读代码过程中想到的可能存在的问题，不知道这种安全问题是否真的会发生，如果读者有关于这方面的思考请留言，我们相互讨论～