Linux用户权限解析
我们linux服务器上有严格的权限等级,如果权限过高导致误操作会增加服务器的风险。所以对于了解linux系统中的各种权限及要给用户,服务等分配合理的权限十分重要
1.基本权限 UGO
=====================================================
文件权限设置: 可以赋于某个用户或组 能够以何种方式 访问某个文件
权限对象:
(拥有者)属主------->u
(所属组)属组------->g
其他人------>o(other)
基本权限类型: 数字表示权限(满权限就是7)
读(read):r ---->4
写(write):w ---->2
执行(exec):x ---->1
案例
7 6 4
r w x rw- r-- alice hr file1.txt
属主权限 属组权限 其他人权限 属主 属组 文件
#前提条件:jack属于hr组
一 alice对file1.txt文件有什么权限? rwx满权限
二 jack对file1.txt文件有什么权限? rw读写权限
a. jack是所有者吗? 不是
b. jack属于hr组吗? 属于
三 tom对file1.txt文件有什么权限? r只读权限
a. tom是所有者吗? 不是
b. tom属于hr组吗? 不属于
c. tom为其他人吗? 是其他人
1.1.设置权限
chown————改变文件或目录的所属主以及所属组
chmod————为文件或目录设置访问权限
chown
更改文件的属主(拥有者)、属组 (所属组)
语法:chown [选项] [所有者][.组] 文件
选项:
-R:递归更改指定目录中所有文件和目录的所有权。
-c:只在所有权更改时显示消息。
-v:详细模式 - 对每个更改所有权的文件显示一条消息。
[root@linux-server ~]# chown alice.hr file1.txt #修改属主、属组
[root@linux-server ~]# chown tom file1.txt #修改属主
[root@linux-server ~]# chown .it file1.txt #只改属组
[root@linux-server ~]# chown -R alice.hr dir1 #递归修改---针对目录
#(-R 连同目录内的文件一起修改属主和属组)
chmod
更改权限
基本语法:chmod <权限> <文件或目录>
a. 使用符号
使用符号表示权限:
r:可读权限
w:可写权限
x:可执行权限
-:没有权限
其他常用语法:chmod <用户权限><组权限><其他权限> <文件或目录>
案例
[root@linux-server ~]# chmod u+x file1.txt #属主增加执行
[root@linux-server ~]# chmod +x file1.txt #所有人增加执行
[root@linux-server ~]# chmod a=rwx file1.txt #所有人等于读写执行
[root@linux-server ~]# chmod a=- file1.txt #所有人都没有权限
[root@linux-server ~]# chmod ug=rw,o=r file1.txt #属主属组等于读写,其他人只读
[root@linux-server ~]# ll
-rw-rw-r--. 1 tom it 0 Nov 1 15:30 file1.txt
b.使用数字
数字权限可以通过将相应的数字相加来组合:
7:读、写和执行权限
6:读和写权限
5:读和执行权限
4:只读权限
3:写和执行权限
2:只写权限
1:只执行权限
0:没有权限
语法:chmod <数字权限> <文件或目录>
案例
[root@linux-server ~]# chmod 644 file1.txt #属主读写,属组只读,其他人只读
[root@linux-server ~]# ll file1.txt
-rw-r--r--. 1 tom it 0 Nov 1 15:30 file1.txt
[root@linux-server ~]# chmod 755 file1.txt #属主读写执行,属组读执行,其他人读执行
[root@linux-server ~]# ll
-rwxr-xr-x 1 root root 0 Jul 23 22:40 file1.txt
[root@linux-server ~]# chmod 521 file1.txt #属主读执行,属组写,其他人执行
[root@linux-server ~]# ll
-r-x-w---x 1 root root 0 Jul 23 22:40 file1.txt
2 .权限案例 UGO
r、w、x权限对文件和目录的意义
对文件:
(读)r ---- cat #查看文件内容
(写)w ---- vi、vim #编辑文件内容
(执行)x ---- bash /dir/file #执行文件
对目录:
(读)r ---- ls #打印目录文件
(写)w ---- touch、mkdir、rm #创建删除目录文件
(执行)x ---- cd #访问进入目录
rwx对文件的影响
实战案例1:rwx对文件的影响
[root@linux-server ~]# vim /home/file1
date
[root@linux-server ~]# ll /home/file1
-rw-r--r--. 1 root root 5 Nov 3 15:19 /home/file1
[root@linux-server ~]# su - alice #切换普通用户
[alice@linux-server ~]$ cat /home/file1
date
[alice@linux-server ~]$ /home/file1 #执行文件
-bash: /home/file1: Permission denied
[alice@linux-server ~]$ exit
logout
[root@linux-server ~]# chmod o+x /home/file1
[alice@linux-server ~]$ /home/file1
Sun Nov 3 15:26:21 CST 2019
[root@linux-server ~]# chmod o+w /home/file1 #给其他人添加执行权限
[alice@linux-server ~]$ vim /home/file1
date
123
ls
rwx对目录的影响
实战案例2:对目录没有w,对文件有rwx——无法在目录下进行新建和删除操作
[root@linux-server ~]# mkdir /dir10
[root@linux-server ~]# touch /dir10/file1
[root@linux-server ~]# chmod 777 /dir10/file1 #所有人对文件有满权限
[root@linux-server ~]# ll -d /dir10/ #
drwxr-xr-x. 2 root root 19 Nov 3 15:37 /dir10/
[root@linux-server ~]# ll /dir10/file1
-rwxrwxrwx. 1 root root 0 Nov 3 15:37 /dir10/file1
[root@linux-server ~]# vim /dir10/file1
jack
[root@linux-server ~]# su - alice
Last login: Sun Nov 3 15:28:06 CST 2019 on pts/0
[alice@linux-server ~]$ cat /dir10/file1
jack
[alice@linux-server ~]$ rm -rf /dir10/file1
rm: cannot remove ‘/dir10/file1’: Permission denied #权限不够,其他人没有写权限
[alice@linux-server ~]$ touch /dir10/file2
touch: cannot touch ‘/dir10/file2’: Permission denied #权限不够
实战案例3:对目录有w,对文件没有任何权限——可以对权限不够的文件进行删除
[root@linux-server ~]# chmod 777 /dir10/ #设置所有人对目录满权限
[root@linux-server ~]# chmod 000 /dir10/file1 #设置所有人对文件无权限
[root@linux-server ~]# ll -d /dir10/
drwxrwxrwx. 2 root root 19 Nov 3 15:38 /dir10/
[root@linux-server ~]# ll /dir10/file1
----------. 1 root root 5 Nov 3 15:38 /dir10/file1
[root@linux-server ~]# su - alice #切换普通用户(其他人)
Last login: Sun Nov 3 15:38:53 CST 2019 on pts/0
[alice@linux-server ~]$ cat /dir10/file1
cat: /dir10/file1: Permission denied #没有权限
[alice@linux-server ~]$ rm -rf /dir10/file1 #对文件无权限,但可以删除文件
[alice@linux-server ~]$ touch /dir10/file2 #对文件无权限,但可以创建文件
#小结
对目录有w权限,可以在目录中创建新文件,可以删除目录中的文件(跟文件权限无关)
实战案例4:对目录没有x,有rw——无法进入目录访问内容,也无法进行创建和删除
[root@localhost opt]# mkdir dir2/
[root@localhost opt]# vim /opt/dir2/a
[root@localhost opt]# ll -d dir2
drwxr-xr-x 2 root root 6 Jun 27 14:35 dir2
[root@localhost opt]# chmod 776 dir2/ #设置其他人读写权限
[root@localhost opt]# ll -d dir2/
drwxrwxrw- 2 root root 6 Jun 27 14:35 dir2/
[root@localhost opt]# su - xiaoli #切换为普通用户(其他人)
[xiaoli@localhost ~]$ cd /opt/
[xiaoli@localhost opt]$ ll -d dir2/
drwxrwxrw- 2 root root 6 Jun 27 14:35 dir2/
[xiaoli@localhost ~]$ ls /opt/dir2 #查看目录内容
ls: cannot access /opt/dir2/a: Permission denied a #没有权限
[xiaoli@localhost opt]$ touch dir2/a #创建目录文件
touch: cannot touch ‘dir2/a’: Permission denied #没有权限
[xiaoli@localhost opt]$ rm -rf dir2/
rm: cannot remove ‘dir2/’: Permission denied #没有权限
注意事项
文件: x 权限小心给予 控制文件的恶意执行操作
目录: w 权限小心给予 控制目录的创建删除
权限掩码
umask 用户掩码
控制用户创建文件和目录的默认权限
#root用户默认最高权限
目录---777 文件---666
#查看umask
[root@localhost ~]# umask
0022 root账户默认
0002 普通用户默认
#通过计算得出root用户创建目录和文件的权限为:
也是现在root用户创建完目录和文件的默认权限:
目录:755 (777--022)
文件:644 (666--022)
#修改umask
[root@localhost ~]# umask 0111
高级权限(特殊权限)
高级权限 suid,sgid,sticky
1.1.高级权限的类型
设置特殊权限
(u+s)suid ==== 4 提权 (只对二进制命令文件生效,其他不管用)
(使用命令的用户将拥有文件拥有者的权限)
(g+s)sgid ==== 2 继承目录属组的权限 (只能对目录设置)
(o+t)sticky == 1 (t权限) 权限控制
设置特殊权限
(1)字符:+设置, -取消 (2)数字设置权限
chmod u+s file chmod 4774 file
chmod g+s dir chmod 2774 dir
chmod o+t dir chmod 1774 dir
Set UID
setuid(Set User ID)是一种特殊的权限标志,它允许用户在执行一个程序时暂时获得
该程序所有者的权限。当一个可执行文件具有setuid权限时,当任何用户执行该程序时,
该程序会在特权身份下运行,而不是执行用户的身份。
注意: 1.SUID权限仅对命令文件(二进制文件)有效;2.执行者将具有该程序拥有者(owner)的权限。
设置方式:
chmod u+s filename
chmod 7xxx filename
案例一
suid 普通用户通过suid提权 <针对文件>
在进程文件(二进制,可执行的命令文件)上增加suid权限
[root@linux-server ~]# chmod u+s /usr/bin/cat
[root@linux-server ~]# chmod u+s /usr/bin/rm
# 此时一旦给rm加上suid权限之后,普通用户相当于root用户。(即提权)
[root@linux-server ~]# su - alice
Last login: Wed Nov 6 17:40:40 CST 2019 on pts/0
[alice@linux-server ~]$ cat /root/file1.txt
123
[alice@linux-server ~]$ rm -rf /root/file1.txt
[root@linux-server ~]# ll /usr/bin/rm
-rwsr-xr-x. 1 root root 62864 Nov 6 2016 /usr/bin/rm
[root@linux-server ~]# chmod u-s /usr/bin/rm #取消提权
Set GID
setguid权限(setgid)设置文件的所属组执行权限的特殊标志位。它可以使一个可执行文件
在执行时,以该文件所属组的身份执行。
设置方式:chmod g+s filename
chmod 2xxx filename
把s放到文件的所属用户组的x位置上的话,就是SGID。那么SGID的功能是什么呢?
和SUID一样,只是SGID是继承该程序的所属组。
SGID主要用在目录上-----
如果用户在此目录下具有w权限的话,使用者在此目录下建立新文件,则创建的这个文件的群组
与此目录的群组相同。
案例二
首先创建一个用户组,两个用户进行这三个案例操作
[root@linux-server ~]# mkdir /opt/dir1 #创建目录
[root@linux-server ~]# groupadd hr #创建一个组
[root@linux-server ~]# chmod 775 /opt/dir1/ #设置权限
[root@linux-server ~]# ll -d /opt/dir1/
drwxrwxr-x. 2 root root 6 Nov 6 21:26 /opt/dir1/
[root@linux-server ~]# chown .hr /opt/dir1/ #设置属组
[root@linux-server ~]# chmod g+s /opt/dir1/ #给目录设置sgid
[root@linux-server ~]# ll -d /opt/dir1/
drwxrwsr-x. 2 root hr 6 Nov 6 21:26 /opt/dir1/
[root@linux-server ~]# touch /opt/dir1/a.txt
[root@linux-server ~]# ll /opt/dir1/a.txt
-rw-r--r--. 1 root hr 0 Nov 6 21:33 /opt/dir1/a.txt
[root@linux-server ~]# chmod o+w /opt/dir1/ -R
[root@linux-server ~]# su - alice
Last login: Wed Nov 6 21:34:59 CST 2019 on pts/2
[alice@linux-server ~]$ touch /opt/dir1/b.txt
[alice@linux-server ~]$ ll /opt/dir1/b.txt
-rw-rw-r--. 1 alice hr 0 Nov 6 21:35 /opt/dir1/b.txt
Sticky Bit(沾滞位)
这个就是针对others来设置的了,和上面两个一样,只是功能不同而已。 SBIT(Sticky Bit)目前只针对目录有效,对于目录的作用是:当用户在该目录下建立文件或目录时,仅有自己与 root才有权力删除。 只作用在目录上,当一个目录的没有设置sticky bit权限时,并且该目录对所有用户都有读、写、执行权限时,普通用户在该目录下所创建的文件或目录都会被其它用户删除。 授权方式:chmod o+t filename chmod 1xxx filename
案例
[root@linux-server ~]# cd /home/
[root@linux-server home]# mkdir dir2
[root@linux-server home]# chmod 757 dir2/
[root@linux-server home]# chmod o+t dir2/
[root@linux-server home]# ll -d dir2/
drwxr-xrwt. 2 root root 52 Oct 31 16:49 dir2/
[root@linux-server home]# useradd jack #创建用户
[root@linux-server home]# su - alice
Last login: Wed Nov 6 21:48:12 CST 2019 on pts/2
[alice@linux-server ~]$ touch /home/dir2/alice.txt #用户alice创建文件
[alice@linux-server ~]$ exit
logout
[root@linux-server home]# su - jack
Last login: Wed Nov 6 21:48:36 CST 2019 on pts/2
[jack@linux-server ~]$ touch /home/dir2/jack.txt #用户jack创建文件
[jack@linux-server ~]$ rm -rf /home/dir2/alice.txt
rm: cannot remove ‘/home/dir2/alice.txt’: Operation not permitted
# 测试jack删除alice创建的文件,无法删除
两种给普通用户提权的手段
suid: 基本针对所有用户,任何用户在执行有suid权限的程序时(例如/usr/bin/rm),都是以root身份在执行。 sudo: 有针对性,例如针对某个用户以能够以root的身份执行某些命令。
sudo
放开所有命令使用权
[root@linux-server ~]# visudo #打开配置文件 90 ## 91 ## Allow root to run any commands anywhere 92 root ALL=(ALL) ALL 93 jack ALL=(ALL) NOPASSWD: ALL #添加内容,设置无需root密码验证 94 ## Allows members of the 'sys' group to run networking, software, 测试 [root@linux-server ~]# su - jack Last login: Wed Nov 6 22:04:46 CST 2019 on pts/2 [jack@linux-server ~]$ sudo mkdir /test1
配置解释: jack表示用户名 ALL=(ALL) #表示sudo可以切换到任意用户登陆所有计算机执行命令 NOPASSWD: ALL #表示所有命令都可以作为root身份执行时不需要root用户的密码
放开个别命令使用权
[root@linux-server ~]# visudo 91 ## Allow root to run any commands anywhere 92 root ALL=(ALL) ALL 93 jack ALL=(ALL) NOPASSWD:ALL 94 alice ALL=(ALL) NOPASSWD:/usr/bin/mkdir, /usr/bin/rm, /usr/bin/touch 95 96 ## Allows members of the 'sys' group to run networking, software, 测试: [root@linux-server ~]# su - alice Last login: Fri Jul 24 00:52:13 CST 2020 on pts/1 [alice@linux-server ~]$ touch /file touch: cannot touch ‘/file’: Permission denied [alice@linux-server ~]$ sudo touch /file
练习
1.创建用户tom,jack,zhuzhuxia;zhuzhuxia用户的附加组为tom
[root@localhost ~]# useradd tom
[root@localhost ~]# useradd jack
[root@localhost ~]# useradd zhuzhuxia -G tom
2.切换到用户tom,在/tmp目录下创建文件tom.txt (观察文件的归属和权限)
[root@localhost ~]# su - tom
[tom@localhost ~]$ touch /tmp/tom.txt
3.将tom创建的文件权限修改为rw-r-----ll
[root@localhost ~]# chmod o=- /tmp/tom.txt
4.向tom创建的文件中写入内容"Tihs is tom file ,dont touch"
[root@localhost ~]# vim /tmp/tom.txt
i Tihs is tom file ,dont touch esc :wq
5.请问: jack,zhuzhuxia能不能查看文件的内容?
jack不能,zhuzhuxia能,因为zhuzhuxia所属组是tom,所属组权限是只读,jack是其他人,无权限
6.创建一个目录/opt/test目录,要求该目录的属组为it组,任何用户在该目录下创建文件继承该目录的属组?
[root@localhost ~]# mkdir /opt/test
[root@localhost ~]# chown .it /opt/test/
[root@localhost ~]# chmod g+s /opt/test/
7.使用root用户创建目录/prov,修改属主为tom,属组为tom,权限为750
[root@localhost ~]# mkdir /prev
[root@localhost ~]# chown tom.tom /prev
[root@localhost ~]# chmod 750 /prev
8.列出/home/下面的所有文件包括隐藏文件?
[root@localhost ~]# ls -a /home/
9.查看自己的ip地址
[root@localhost ~]# ip -a
10.chown是用来做什么的?chmod是用来做什么的?
chown更改文件的属主(拥有者)、属组 (所属组)
chmod更改权限