day14-运维基础2

文件权限

文件基本权限和用户、组修改

文件权限相关命令预习：chmod，chown，chgrp

文件类型 所属用户权限 所属组权限 其他用户权限 ACL权限 所属用户 所属用户组

a：所有用户
u：所属用户
g：所属组
o：其他用户
. : ACL权限

权限解析：
r  读
w  写
x  执行（执行程序，进入目录）
-  没有权限

根据需求赋予相关权限
gpasswd -M stu1,stu2 rsb
mkdir rsb xsb jsb

字母方式修改权限
+=-ugo配合使用
chmod g+w rsb
chmod g=rwx rsb
chmod g-x  rsb
chmod g-w,o+x rsb

数字方式修改权限
chmod 777 rsb
chmod 770 xsb

修改用户和所属组
chown stu1 rsb
chown :xsb rsb
chown stu1:rsb rsb

chmod 770 jsb& chown stu5:jsb jsb

假设我们有个职位是总经理，在不动其他设置的情况下，如何让总经理能够具有访问其他文件的权限呢？
这里修改的点是ACL权限。
setfacl -m u:zjl:rwx jsb    #设置ACL权限
getfacl jsb                 #查看ACL权限
但是不代表设置了ACL权限就有，还要看mask的值,mask好像只影响acl
setfacl -m m:rwx jsb        #修改mask的值
setfacl -x u:zjl jsb        #删除增加的具有ACL权限的用户
setfacl -b jsb              #把文件中的acl权限的记录删掉

一些特殊权限

这里先讲一个知识点
0代表的是特殊权限，755、744代表的是基本权限的值
文件夹默认权限：0755
文件默认权限：0644
为什么是这样？可不可以改？
这些权限的默认值来自于umask的值：0022（默认）
特殊权限的值：suid =4 sgid=2 sbit=1
文件夹最大权限是777
文件最大权限是666（普通文件通常不具有可执行权限）
也就是说，文件和文件夹的默认权限是来自于umask的值。但是umask的值只能临时改好像。好像可以永久改，自行百度哦亲。

1.SUID（SUID提权）
可执行程序(二进制程序）才能设置，用户要对该程序有x权限，执行过程中临时获得用户主的权限，执行完成结束了权限，回到了原来的权限。

想一想，为什么/bin/passwd的所属用户为root，为什么其他用户可以改自己密码呢？
就是因为该文件用户设置了SUID权限，其他用户可以临时获得文件用户的权限，所以可以修改自己的密码。
chmod u+s /bin/passwd
chmod 4777 /bin/passwd
好像去掉对应权限的话就不能用chmod 0777 /bin/passwd了，好像只能用chmod u-s /bin/passwd

这个权限不能乱改，黑客喜欢使用suid提权。小心寄。
那如何找出系统中具有SUID权限的文件呢？或者如何使用模拟黑客利用SUID权限提权呢？

2.SGID
在组的位置+s
针对可执行文件的话其实跟前面SUID挺像的，只不过权限估计要小一点
针对文件夹的话，在目录下建立的文件组不是用户的属组，而是目录的属组。

3.SBIT
只能针对文件夹，在其他用户位置+t
解决一个问题，防止同一个组用户修改其他人的文件。也就是只能修改自己的文件。
但是root权限仍然可以删除，所以应该有个防止意外删除的机制。

4.chattr(文件扩展权限）
+i
chattr +i 1.txt
ll查看不了，因为他是文件扩展权限
所以应该用lsattr命令去查看
这里如果从黑客角度来看，如果上传的木马加了这个文件扩展权限，就没办法删除了，那怎么办呢？我只能说牛波一。好像是说挖矿病毒就是这样。

+a
好像跟+i差不多

i:  如果对文件设置 i 属性，那么不允许对文件进行删除、改名，也不能添加和修改数据；如果对目录设置 i 属性，那么只能修改目录下文件的数据，但不允许建立和删除文件。
a:	如果对文件设置 a 属性，那么只能在文件中增加数据，但是不能删除也不能修改数据；如果对目录设置 a 属性，那么只允许在目录中建立和修改文件，但是不允许删除。

5.sudo（sudo提权，修改sudoers文件）
 sudo su root
 这条命令不能执行为什么呢？因为对应的配置文件sudoers没有，所以修改。
 find / -name sudoers
 然后修改就可以得到你想得到的了。
 好像可以给vim加上suid权限，然后使用vim编辑sudoers。也就是使用临时提升的权限修改。
 
 如何找到命令的完整路径？
 whereis命令，找到对应的命令路径