第5单元搞定Linux——权限管理

一、权限的查看及读取

1、权限查看

ls -l file  查看文件权限
ls -ld dir  查看目录权限

2、权限读取

文件的属性也被叫做文件的元数据，1种元数据用1个byte来记录内容

文件权限信息
-|rw-r—r--|.|1|root|root|0|Apr 12 10:57 | westos
[1]   [2]   [3] [4] [5]  [6] [7]  [8]      [9]
目录权限信息
d|r-xr-x---|.|16|root|root|4096|Apr 14 22:47|root
[1]   [2]  [3] [4]   [5]   [6]  [7]    [8]     [9]
解释：
【1】文件类型
       -  普通文件
      d  目录文件
      l   软连接（类似于windows中的快捷方式）
    b  块设备（一般置于/dev目录下，设备文件是普通文件和程序访问硬件设备的入口，是很特殊的文件）
    c  字符设备 /dev/pts/0
    s  socket套接字（通常用在网络数据连接。可以启动一个程序来监听客户端的要求，客户端就可以通过套接字来进行数据通信）
    p  管道
【2】用户权限
rw-r—r-- 文件所有者(user)、所属组(Group)和其他用户(Other)
【3】系统的SELinux开启
【4】对于文件：文件内容被系统记录的次数（硬连接个数）
   对于目录：目录中子目录的个数
【5】文件拥有者
【6】文件拥有组
【7】文件：文件字节大小
   目录：目录中的元数据大小
【8】文件内容的更改时间
【9】文件名称

<sub>（输入输出的机制：程序的信息在proc里面

ps查看shell进程，cd 88240/fd发现在fd中存在字符设备，1就输出到了字符设备)</sub>

二、普通权限的类型及作用

1.权限
u #user 文件的拥有者ls -l 看到的第5位
g #group文件的拥有组ls-l看到的第6位
o #other 既不是拥有者也不是拥有组成员的其他用户的通称
2.权限位
rwx|r--|r--
3.用户身份匹配
user>group>other
4权限类型
-  权限未开启
r 可读：可以读取文件，可以ls列出目录中的文件
w 可写：可以更改文件内容，可以在目录中新建或删除文件
x 可执行：可以用文件名称调用文件内记录的程序，对于目录可以进入目录中

三、设定普通权限的方法

监控：watch -n 1 ls -lR /mnt/

chmod  设定文件权限

1）权限复制
chmod –-reference=/tmp /mnt/westosdir
  复制/tmp目录的权限到/mnt/westosdir
chmod 【-R】–-reference=/tmp /mnt/westosdir
  复制/tmp 目录的权限到westosdir文件夹下的所有文件权限，R代表递归操作
2）字符方式设定权限
Chmod < + | - | = >< r | w | x > file

• 示例：新建westosfile1-5文件并监控，原文件权限为rw-r–r--
  
  输入命令更改权限：
  
  更改后效果：
  
  注：a表示所有的权限拥有者，-R循环递归改变

3）数字方式设定权限

权限波尔表示方式
rwx=111
—=000

（补充概念：bool值 0|1 true|false）
三位二进制可以表示的最大范围为8进制
rwx=111=7 rw-=110=6 r-x=101=5 r–=100=4
-wx=011=3 -w-=010=2 –x=001=1 —=000=0

示例：
Chmod 600（即rw-------） /mnt/westosfile1

四、系统默认权限设定

系统本身存在的意义：共享资源
从安全角度讲系统共享的资源越少，开放的权力越小系统安全性越高。既要保证系统安全，又要系统创造价值，于是把应该开放的权力默认开发，把不安全的权力默认保留。

如何保留权力
umask     查看系统保留权力，默认022
umask 权限值  临时设定系统预留权力

文件默认权限=777-umask022-文件预留权限111=644
目录默认权限=777-umask022

解析：
在sdb1中建立文件时通过ntfs保存到sdb1中
这时建立文件不会预留111的权限

当更改sdb1的文件系统为vfat格式时，再建立文件就会有预留权限。
不同的文件系统预留不同的权限。

临时更改
umask 077值变大这样操作会临时提升系统安全级别

永久更改
vim /etc/bashrc  shell的系统配置文件，74-78行

vim /etc/profile  系统环境配置文件59-63行

source /etc/bashrc  source可以使更改的内容立即被系统识别
source /etc/profile

五、文件用户用户组管理

chown username file  更改文件拥有者
chgrp groupname file  更改文件拥有组
chown username:groupname file  同时更改文件的拥有者和拥有组（：与.作用相同）
chown|chgrp -R user|group dir  同时更改目录本身及目录中拥有者或拥有

示例：

六、特殊权限

1) Stickyid 粘制位

针对目录：如果一个目录stickyid开启，那么这个目录中的文件只能被文件所有人操作
chmod 1777 /pub/
chmod o+t /pub/

实验：发现lee用户可以删除westos用户建立的文件

解决：chmod 1777 /pub/或 chmod o+t /pub/开启t权限，就不会删除了
再执行 chmod 0777 /pub/就可以还原了

2) Sgid 强制位

针对目录：目录中新建的文件自动归属到目录的所属组中
设定：
chmod 2源文件权限 dir
chmod g+s dir

• 示例：/westosdir的所属组为westostest，当root用户建立file1时发现file1的用户组属于root
  解决：chmod g+s /mnt/westosdir 目录中新建的文件自动归属到目录的所属组westostest
  

针对文件:只针对二进制的可执行文件
当运行二进制文件时都是用文件拥有组身份运行，和谁执行的无关

• 示例：
  Su – westos
  /bin/watch/ -n 1 date
  
  发现谁执行的watch进程属于谁
  解决：用root身份执行chmod g+s /bin/watch
  Su – westos
  /bin/watch/ -n 1 date进程属于root
  

3) Suid 冒险位

类似于sgid，只针对二进制可执行文件，当运行二进制可执行文件时都是文件拥有者身份运行，与用户身份无关
chmod u+s file
chmod 4+源文件权限 file

• 示例：
  su -westos
  /bin/watch/ -n 1 date
  ps ax -o user,group,comm | grep watch
  用root身份：chmod u+s /bin/watch
  su -westos
  /bin/watch -n 1 date
  ps ax -o user,group,comm | grep watch发现watch进程只属于root用户
  

sgid和suid可以迅速提升和下降操作者的权限，使操作更安全，root用户默认是什么都能做，但也可以被限制

• 示例：一个最简单的安全架构步骤：改变rm文件属于linux，更改suid和sgid权限，root用户下rm -fr /mnt被拒绝