1. linux安全性
 linux的安全性主要通过3A安全机制来实现，分别为authentication（认证）、authorization（授权）、audition（审计）。
1.1 /etc/passwd 文件
 passwd文件主要用来存放账户的特定信息，以下为示例：
 [root@localhost ~]# tail -1 /etc/passwd
 test:x:500:500::/home/test:/bin/bash
 解析：上述为passwd文件最后一条账户信息，没个字段以：进行分割，含义为：
  test：用户名
  x：密码，为了确保安全，实际密码通过加密的方式存储于 /etc/shadow中
  500：用户UID编号，在centos6及以下linux系统中，1-499为系统账户UID，500以上为用户UID，centos7及一下1-999为系统UID，1000及以上为用户UID
  500：用户组GID编号，编号规则等同于UID。
  空格：这个字段为用户信息字段，用于存放用户的地址、电话等备注信息
  /home/test:为用户的家目录路径
  /bin/bash：用户的默认shell

1.2 /etc/shadow 文件
 shadow文件为passwd文件的一个补充，主要用于存放账户密码，有效期，过期时间等一些信息，仅供指定程序访问。以下为示例：
 [root@localhost ~]# head -1 /etc/shadow
 root:$6$Y9zrpEAs$Gom54hm/CfGzTO07.2RmxeKGk4TwClaNRER9y6WM:17326:0:99999:7:::
 解析：上述为shadow文件第一行root用户的账户密码相关信息，以：进行分割，含义依次为：
  root：用户名
  $开头的字符串：加密的密码
  17326：自上次修改密码后过去的天数（自1970年1月1日开始计算）
  0：多少天后才能更改密码，0表示可以立即更改
  99999：多少天后必须更改密码，表示密码的有效期
  7：密码过期前7天提醒用户更改密码
  空格：密码过期多少天后禁用账户
  空格：用户账户被禁用的日期（自1970年1月1日至当天的日期数表示）
  空格：预留字段给将来用
 单向加密机制：提取数据指纹
  md5：128bits
  sha1：安全哈希算法，160bits
  sha224：224bits
  sha256：256bits
  sha384：384bits
  sha512：512bits
  
1.3 linux安全上下文
 进程运行时会以发起者的身份运行，进程所有访问的资源取决于发起者的权限。

2. linux用户管理和组管理
2.1 用户管理
 useradd命令
 说明：添加用户可以使用useradd命令来添加，useradd命令添加命令时会读取/etc/default/useradd文件来设定用户默认值。
 
 /etc/default/useradd 文件解析：（可以通过cat文件或useradd -D来查看默认参数）
 [root@localhost ~]# cat /etc/default/useradd  
 # useradd defaults file    
 GROUP=100        #新用户会被添加到GID为100的公共组
 HOME=/home     #新用户的家目录会放置于/home下
 INACTIVE=-1     #新用户账户过期后不会被禁用
 EXPIRE=      #新用户未设置过期日期
 SHELL=/bin/bash    #新用户默认的shell
 SKEL=/etc/skel    #在创建新用户时，系统会将/etc/skel目录复制到新用户家目录下
 CREATE_MAIL_SPOOL=yes #在创建新用户时，系统会在mail用户下创建一个接受邮件的文件。
 
 参数：
  -c “COMMENT”：给用户添加注释信息
  -d home_dir：为用户指定一个用户家目录，一般不想使用默认时可以使用此选项
  -e YYYY-MM-DD：为用户指定账户过期日期
  -f inactive_days：指定账户密码过期后多少天账户会被禁用，0表示过期立即禁用，1表示禁止此功能
  -g GID：指定用户所属基本组，可为组名，也可为GID
  -G GROUP1,GROUP2,GROUP3......为用户指明附加组，附加组必须事先存在
  -u UID：为用户指定UID
  -s SHELL：指定用户默认的shell，可用列表在/etc/shells文件中
  -r：创建系统用户，centos6 ID号小于500，centos7 ID号小于1000
 
 练习：创建用户test，附加组为test1和test2，默认shell为/bin/csh,注释信息为“This is test”
  [root@localhost ~]# groupadd test1;groupadd test2
  [root@localhost ~]# useradd test -G test1,test2 -s /bin/csh -c "This is test"
 
 修改用户
  usermod命令：修改用户指定字段和所属组和附加组等passwd文件中的大部分字段。
  参数：
   -u UID：指定新的UID
   -g GID：指定新的基本组
   -G GROUP1,GROUP2,GROUP3......:指定新的附加组，原来的福建组将被覆盖，如果要保留需同时使用-a选项，表示append
   -s SHELL：新的默认SEHLL
   -c “COMMENT”：指定新的注释信息
   -d HOME_DIR:指定新的家目录，原家目录文件不会移动到新的家目录中，若要移动，则同时使用-m选项
   -l login_name：指定新的登录名
   -e YYYY-MM-DD：修改过期日期
   -L：锁定指定用户
   -U：解锁指定用户
   -p：修改指定账户密码
   -f INACTIVE：设定账户非活动期限
  
  passwd：passwd user可以用来修改指定账户的密码，直接使用passwd可以修改当前登录的账户的密码。
  用法：
   passwd USER_NAME：用于修改指定账户的密码
   passwd：用于修改当前登录账户的密码
  
  chpasswd：这个命令主要用于批量修改密码，它可以使用重定向命令将含有userid：passwd对的文件作为参数传递给它实现批量修改的目的。
  用法：
   chpasswd < users.txt
  
  chsh:修改指定用户的默认登录shell
   用法：
    chsh -s /bin/bash test：修改test的默认shell为bash
  
  chfn：用于修改passwd文件中的注释字段
   用法：
    chfn：依次修改当前用户的注释字段
    chfn USER_NAME：依次修改指定用户的注释字段
  
  finger：查看用户的注释字段，一般系统为了安全不自带该命令，可自行安装。
  
  chage：管理用户的有效期
   参数：
    -d：设置上次修改密码到现在的天数
    -E：设置密码过期的日期
    -I:设定密码过期锁定账户的天数
    -m：设置修改密码之间需要多少天
    -W：设置密码过期前多久开始提醒
    设置时间的两种方式：
     从1970年1月1日开始多少天
     YYYY-MM-DD格式的日期
 
 删除用户：
  userdel USER_NAME：删除用户
  userdel -r USER_NAME：删除用户的同时删除用户的家目录和邮件目录
  
2.2 组管理
 组的类别：
  用户的基本组称为主组
  用户的额外组称为附加组
 
 /etc/group文件
  示例：
   [root@localhost ~]# tail -1 /etc/group
   test:x:502:
   解析：
    test：组名
    x：组密码，加密存放至gshadow文件中
    502：GID
    空：属于该组的用户列表
    
 创建组：groupadd命令
  groupadd GROUP_NAME:新建组
  usermod GROUP_NAME USER_NAME：将指定用户添加到指定组中
 
 修改组：groupmod命令
  groupmod -g GID GROUP_NAME：修改组GID
  groupmod -n OLD_GROUP_NAME NEW_GROUP_NAME：修改组名
  groupmod -r ：创建系统组，centos6 GID<500,centos7 GID<1000
 
 删除组：groupdel GROUP_NAME
 
 组密码管理：gpasswd
  格式：gpasswd [option] GROUP
  参数：
   -a user：将user添加到自动组中
   -d user：删除用户user的以当前组为组名的附加组
   -A user1，user2......：这是有管理权限的用户列表
 
 临时切换基本组：newgrp命令
  如果用户不属于此组需临时切换到该组则需要密码
 
2.3 其他用户和组相关知识
 查看用户相关信息：id命令
  id USER_NAME:查看用户相关的信息
 
 切换用户或其他用户身份执行命令：su
  su USER_NAME：非登录切换，即不会读取目标用户的配置文件
  su - USER_NAME：登录切换，会读取目标用户的配置文件，属于完全切换
   root使用su切换到其他用户无需密码，非root用户切换时需要输入密码
  su [-] USER_NAME -c 'COMMAND'：使用USER_NAME的身份来执行COMMAND
  su -l USER_NAME:和su - USER_NAME功能一样。

3. 权限管理
 文件权限解析：
  文件权限对象定义：
   owner：属主，u
   group：属组，g
   other：其他，o
  文件权限定义：
   r：可读
   w：可写
   x：可执行
  目录权限定义：
   r：可查看目录的文件列表
   w：可在目录中新建、添加或删除文件
   x：可查看文件列表，也可使用cd命令进入此文件
  文件权限对应的数字编号
  ---：0
  --x：1
  -w-：2
  r--：4
  r-x：5
  rw-：6
  rwx：7
 ls -l 文件列表解析示例：
  [root@localhost ~]# ls -l
  total 52
  -rw-------. 1 root root  2392 Oct 27  2014 anaconda-ks.cfg
  drwxr-xr-x. 2 root root  4096 Oct 27  2014 Desktop
  drwxr-xr-x. 2 root root  4096 Oct 27  2014 Documents
  drwxr-xr-x. 2 root root  4096 Oct 27  2014 Downloads
  -rw-r--r--. 1 root root 12581 Oct 27  2014 install.log.syslog
  drwxr-xr-x. 2 root root  4096 Oct 27  2014 Music
  drwxr-xr-x. 2 root root  4096 Oct 27  2014 Pictures
  drwxr-xr-x. 2 root root  4096 Oct 27  2014 Public
  drwxr-xr-x. 2 root root  4096 Oct 27  2014 Templates
  drwxr-xr-x. 2 root root  4096 Oct 27  2014 Videos
  以ls -l的结果第二行为例解析：
   第一字段-：
    d：目录
    -：文本文件
    l：软连接文件
    c：字符设备文件
    t：套接字文件
    b：块设备文件
    n：网络设备文件
   rwx：属主权限，对应数字编号7，可列列表，可cd，可修改
   r-x：属组权限，对应数字编号5，可读列表，可cd，不可修改
   r-x：其他用户权限，对应数字编号5，可读列表，可cd，不可修改
   1：硬链接次数
   root：所属用户为root
   root：所属组为root
   2392：容量大小，以bit为单位
   Oct 27 2014：最后一次修改时间
   Desktop：文件夹名
 默认权限：umask
  示例详解：
  [root@localhost ~]# umask
  0022
  由上可以看出直接输入umask命令可查看当前创建文件夹和文件时的默认权限
   文件夹权限：
    0：粘着位
    022：代表初始文件夹的权限，文件夹的满权限为rwxrwxrwx，对应数字为777，777-022=755，755对应权限为rwxr-xr-xr-x,所以默认文件夹权限为755
     [root@localhost ~]# mkdir test1
     [root@localhost ~]# ls -ld test1
     drwxr-xr-x. 2 root root 4096 Jun 16 05:24 test1
   
   文件权限：由于系统考虑到有些风险需要去除，所以满权限为rw-rw-rw-，对应数字为666
    0：粘着位
    022：666-022=644,对应权限为rw-r--r--
     [root@localhost ~]# touch test1
     [root@localhost ~]# ls -l test1
     -rw-r--r--. 1 root root 0 Jun 16 05:29 test1
  umask 026：重新设置默认权限为0026，对应默认创建文件权限为640，对应默认创建文件夹权限为751
  
4. 改变安全性设置
4.1 改变权限
 chmod：改变目录和文件的安全性设置
 格式：chmod [OPTION] ... MODE,MODE ...FILE...
 使用方式：
  八进制：
   [root@localhost ~]# ls -l test1
   -rw-r--r--. 1 root root 0 Jun 16 05:43 test1
   [root@localhost ~]# chmod 777 test1
   [root@localhost ~]# ls -l test1
   -rwxrwxrwx. 1 root root 0 Jun 16 05:43 test1
   通过上述示例可看出可直接通过修改权限的八进制来修改权限。
  增加或删除某一类或几类用户权限：
   [root@localhost ~]# ls -l test1
   -rwxrwxrwx. 1 root root 0 Jun 16 05:43 test1
   [root@localhost ~]# chmod o-wx test1
   [root@localhost ~]# ls -l test1
   -rwxrwxr--. 1 root root 0 Jun 16 05:43 test1
   通过上述示例可以看出通过o-wx参数来取消了其他用户对此文件的写和执行权限，也可以通过o+来增加权限，以此类推。
  指定或修改某一类或几类用户的权限
   [root@localhost ~]# ls -l test1
   -rwxrwxr--. 1 root root 0 Jun 16 05:43 test1
   [root@localhost ~]# chmod ug=rw test1
   [root@localhost ~]# ls -l test1
   -rw-rw-r--. 1 root root 0 Jun 16 05:43 test1
   通过上述示例可看到可以通过u=，g=，o=或ug=，uo=，go=或a=来指定权限。

4.2 改变属主和属组
 chown：改变文件的属主和属组
  chown OWNER FILE_NAME:改变文件的属主
  chown .GROUP FILE_NAME：改变文件的属组
  chown OWNER.GROUP FILE_NAME：改变文件的属主和属组
 参数：
  -R：可配合通配符递归修改匹配文件的权限
  -h：可以修改文件所属符号连接文件的所属关系
 
 chgrp：可以修改文件的默认属组
  参数：
   -R：递归

5. 特殊权限设置
 SUID：SUID仅对于二进制可执行文件生效，当用户启动此可执行文件为进程时，改进程的属主为原程序文件的属主。用户对SUID生效有以下限制与功能：
  文件为可执行的二进制文件；
  执行者对文件有可执行权限；
  执行者在执行此二进制程序文件时具备该文件owner权限；
  该权限仅只此二进制程序执行时有效；
 权限设定：
   chmod u+s FILE......：为该文件增加S权限
   chmod u-s FILE......：去掉该文件的S权限
 
 SGID：SGID可针对于文件和目录生效，具备一下限制条件和功能：
  文件：
   文件需为二进制可执行文件；
   执行者需具备可执行权限；
   执行者在运行此二进制文件为进程时具备了该文件属组的权限；
   该执行权限仅此二进制程序执行时生效；
  目录：
   执行者必须具备此文件夹的rx权限；
   如果执行者对该目录有w权限时，在此目录下创建的文件夹或目录的属组为该目录的属组
 权限设定：
  chmod g+s DIR......：为该文件夹增加S权限
  chmod g-s DIR......：为该文件夹去除S权限
 
 Sticky：设置了sticky的文件夹，用户仅能删除、移动、重命名自己创建的文件夹
  Sticky使用时的限制条件和功能：
   用户对该目录需有wx权限；
   仅管理员和用户自己可以删除、移动、重命名自己创建的文件和目录；
 权限设定：
  chmod o+s DIR......：为文件夹增加S权限
  chmod g-s DIR......：为该文件夹去除S权限
   
 限位映射：
  SUID：user，占据属主的执行权限位
   s：属主拥有x权限
   S：属主没有x权限
  SGID：group，占据group的执行权限位
   s：group拥有x权限
   S：group没有x权限
  Sticky：other，占据other的执行权限位
   t：other拥有x权限
   T：other没有x权限