EduCoder Linux文件/目录高级管理三

素颜马尾好姑娘i 2022-10-05 09:48 220阅读 0赞

本实训主要讲解`Linux`中文件/目录的特殊权限和特殊属性。

`Linux`系统中文件/目录除了有读(`r`)、写(`w`)、执行(`x`)权限外，文件/目录还存在特殊的权限，这些权限分别是`SUID`、`SGID`和`Sticky Bit`。

`Linux`系统中文件/目录还存在特殊的属性，这些特殊文件系统的安全管理方面起很重要的作用。

本实训主要讲解如何对`Linux`文件/目录设置特殊的权限和特殊属性。

\#\# 第1关：Linux文件/目录setuid和setgid

*  任务描述
 *  相关知识
    
     *  setuid
     *  setgid
 *  编程要求
 *  测试说明

--------------------

#### 任务描述 ####

假设由用户`A`创建了一个可执行文件`testA`，此时想让用户`B`以`A`的身份去执行`testA`文件该如何实现，通过本关的学习，我们将学会解决以上问题。

本关任务：设置文件/目录的特殊权限`setuid`和`setgid`。

#### 相关知识 ####

`Linux`中文件/目录除了有可读、可写和可执行这三种权限外，还存在比较特殊的权限，这些特殊权限就包括`setuid`和`setgid`这两种。

`setuid`和`setgid`位是让普通用户可以以`root`用户的角色运行只有`root`帐号才能运行的程序或命令。例如我们用普通用户运行`passwd`命令来更改自己的口令，实际上最终更改的是`/etc/passwd`文件，我们知道`/etc/passwd`文件是用户管理的 配置文件，只有`root`权限的用户才能更改，正是因为`passwd`命令被设置了`setuid`权限才能使得普通用户也可以修改其配置文件的内容。

`Linux`文件/目录权限是使用常见的八进制权限掩码来表示的，通常都是用三位数表示，但确切地说，它是用四位数表示的，因为除了读、写和执行权限以外还有特殊的权限。

*  `setuid`的八进制表示为`4000`
 *  `setgid`的八进制表示为`2000`

同样`setuid`和`setgid`也可以使用字母`s`表示。

如果文件/目录的拥有者的可执行位是`s`，则表示该文件/目录被设置了`setuid`权限。同样，如果同组用户的可执行为是`s`，则表示该文件/目录被设置了`setgid`权限。

接下让我们详细的学习`setuid`和`setgid`的使用方法。

##### setuid #####

**`setuid`的作用是让执行该命令的用户以该命令拥有者的权限去执行。**

例如：普通用户执行`passwd`时会拥有`root`的权限，这样就可以修改`/etc/passwd`这个文件，正是因为`passwd`命令被设置了`setuid`权限，`passwd`命令的详细权限如下所示：

![185123][]

可以看到`passwd`命令的拥有者的可执行位是`s`，则说明`passwd`命令被设置了`setuid`权限。

设置`setuid`命令有两种方法，一种是数字设置，另一种是通过助记语法。（建议使用助记语法设置）

*  数字设置命令：`chmod　4xxx　文件/目录`

其中`xxx`表示文件/目录的所有者、同组用户和其他用户的权限(读写执行)。

*  助记语法设置命令：`chmod　u [+|-] s　文件/目录`

+ 添加setuid权限；
       - 取消setuid权限；

**注意：**`chmod`命令的其他参数都可以与`setuid`权限设置结合使用。 在设置`setuid`前必须保证文件/目录的所有者具有可执行权限，否则设置则无效。

**执行权限：**`chmod`必须以`root`权限才能执行，如果是普通用户想执行`chmod`时，需要在命令前加`sudo`命令来提升权限为`root`权限。

案例演示`1`：

创建一个新文件`testFile`，使用数字设置方法为文件`testFile`添加`setuid`权限，具体使用如下命令：

touch testFile
       ls -l testFile
       sudo chmod 4764 testFile
       ls -l testFile

![185124][]

第一条命令是创建新文件`testFile`； 第二条命令是查看`testFile`现有的权限； 第三条命令是在保证`testFile`原有权限的情况下为其添加`setuid`权限； 第四条命令是查看是否添加成功；

案例演示`2`：

创建一个新目录`testDir`，使用助记语法设置方法为目录`testDir`添加`setuid`权限，具体使用如下命令：

mkdir testDir
       sudo chmod u+s testDir
       ls -l .

![185125][]

案例演示`3`：

创建一个新文件`testFile`，使用助记语法为文件`testFile`添加`setuid`权限，具体使用如下命令：

touch testFile
       sudo chmod u+x,u+s testFile
       ls -l testFile

![185128][]

第一条命令是创建新文件`testFile`； 第二条命令是在设置`testFile`为可执行权限并为其添加`setuid`权限； 第三条命令是查看是否添加成功；

如果不给文件`testFile`设置可执行权限直接设置`setuid`权限后，标记为是`S`而不是`s`，详细结果如下图所示：

![185129][]

##### setgid #####

`setgid`的作用是让执行该命令的用户以该命令所有者的同组用户的权限去执行。

设置`setgid`命令有两种方法，一种是数字设置，另一种是通过助记语法。建议使用助记语法设置`setgid`权限。

数字设置命令：

`chmod　2xxx　文件/目录`

其中`xxx`表示文件/目录的所有者、同组用户和其他用户的权限(读写执行)。

助记语法设置命令：

`chmod　g [+|-] s　文件/目录`

+ 添加setgid权限；
       - 取消setgid权限；

**注意：**`chmod`命令的其他参数都可以与`setgid`权限设置结合使用。 在设置`setgid`前必须保证文件/目录的同组用户具有可执行权限，否则设置则无效。

**执行权限：**`chmod`必须以`root`权限才能执行，如果是普通用户想执行`chmod`时，需要在命令前加`sudo`命令来提升权限为`root`权限。

案例演示`1`：

创建一个新文件`testFile`，使用数字设置方法为文件`testFile`添加`setgid`权限，具体使用如下命令：

touch testFile
       ls -l testFile
       sudo chmod 2674 testFile
       ls -l testFile

![185126][]

第一条命令是创建新文件`testFile`； 第二条命令是查看`testFile`现有的权限； 第三条命令是在保证`testFile`原有权限的情况下为其添加`setgid`权限； 第四条命令是查看是否添加成功；

案例演示`2`：

创建一个新目录`testDir`，使用助记语法设置方法为目录`testDir`添加`setgid`权限，具体使用如下命令：

mkdir testDir
       sudo chmod g+s testDir
       ls -l .

![185127][]

#### 编程要求 ####

在右侧编辑器中补充代码，具体编程要求如下：

*  使用助记语法为系统已存在文件`oldFile1`(默认权限为：`rw_rw_r__`)设置`setuid`权限;
 *  使用助记语法为系统已存在目录`oldDir1`(默认权限为：`rwxrwxrwx`)设置`setgid`权限;
 *  使用助记语法为系统已存在文件`oldFile2`取消`setuid`权限;
 *  使用助记语法为系统已存在目录`oldDir2`取消`setgid`权限。

#### 测试说明 ####

平台会对你编写的代码进行评测：

预期输出：

设置oldFile1文件权限成功
       设置oldDir1目录权限成功
       设置oldFile2文件权限成功
       设置oldDir2目录权限成功

--------------------

当一个人用工作去迎接光明，光明很快就会来照耀着他。——冯学峰

开始你的任务吧，祝你成功！

#!/bin/bash
    
    #在以下部分写出完成任务的命令
    #***********begin*************#
    chmod 4764 oldFile1
    chmod g+s oldDir1
    chmod u-s oldFile2
    chmod g-s oldDir2
    #************end**************#

## 第2关：Linux目录stick bit ##

*  任务描述
 *  相关知识
    
     *  stick bit
 *  编程要求
 *  测试说明

--------------------

#### 任务描述 ####

假设由用户`A`在`Dir`目录下创建了一个文件`testA`，用户`B`在`Dir`目录下创建了一个文件`testB`，此时如何确保`A`用户不能删除`B`用户创建的文件而`B`用户也不能删除`A`用户创建的文件，通过本关的学习，我们将学会解决以上问题。

本关任务：对系统已存在的目录设置`sticky bit`。

#### 相关知识 ####

`Linux`中目录除了有可读、可写和可执行这三种权限外，还存在比较特殊的权限，这些特殊权限包括上一关卡讲解的`setuid`和`setgid`这两种，还有一种就是本关讲解的\*\*粘滞位`sticky bit`\*\*。

我们知道`Linux`的`/tmp`目录是系统的临时文件目录，所有的用户在该目录下拥有所有的权限，也就是说在该目录下可以任意创建、修改、删除文件，那如果用户`A`在该目录下创建了一个文件，用户`B`将该文件删除了，这种情况我们是不能允许的。为了达到该目的，就出现了`stick bit`（粘滞位）的概念。它是针对目录来说的，如果该目录设置了`stick bit`（粘滞位），则该目录下的文件除了该文件的创建者和`root`用户可以删除和修改，别的用户均不能删除和修改，这就是粘滞位的作用。

`Linux`目录权限使用常见的八进制权限掩码来表示的，通常都是用三位数表示，但确切地说，它是用四位数表示的，因为除了读、写和执行权限以外还有特殊的权限。

*  `sticky bit`的八进制表示为`1000`

同样`sticky bit`也可以使用字母表示，使用`t`表示。

如果目录的其他用户的可执行位是`t`，则表示该目录被设置了`sticky bit`权限。

接下让我们详细的学习目录的`sticky bit`的使用方法。

##### stick bit #####

`stick bit`的作用是让具有`stick bit`位的目录下的所有文件/目录只有创建者和`root`才能对其删除和修改，其他用户一律不能删除和修改。

例如：`Linux`的`/tmp`目录就具有`stick bit`权限，详细权限如下所示：

![185136][]

可以看到`/tmp`目录的其他用户的可执行位是`t`，则说明`/tmp`目录被设置了`stick bit`权限。

设置`stick bit`命令有两种方法，一种是数字设置，另一种是通过助记语法。建议使用助记语法设置`stick bit`权限。

数字设置命令：`chmod　1xxx　目录`

其中`xxx`表示目录的所有者、同组用户和其他用户的权限（读写执行）。

助记语法设置命令：`chmod　o [+|-] t　目录`

+ 添加stick bit权限；
       - 取消stick bit权限；

**注意：**

chmod命令的其他参数都可以与stick bit权限设置结合使用。
       在设置stick bit前必须保证目录的其他用户具有可执行权限，否则设置则无效。
       stick bit权限只能用于设置目录，不能用于设置文件。

执行权限：

`chmod`必须以`root`权限才能执行，如果是普通用户想执行`chmod`时，需要在命令前加`sudo`命令来提升权限为`root`权限。

案例演示`１`：

创建一个新目录`testDir`，使用助记语法设置方法为目录`testDir`添加`stick bit`权限，具体使用如下命令：

mkdir testDir
       sudo chmod o+t testDir
       ls -l .

![185137][]

如果不给目录`testDir`设置可执行权限直接设置`stick bit`权限后，标记为是`T`而不是`t`，详细结果如下图所示：

![185138][]

案例演示`２`：

创建一个新目录`testDir`，使用数字设置方法为目录`testDir`添加`stick bit`权限，具体使用如下命令：

mkdir testDir
       ls -l ./
       sudo chmod 1775 testDir
       ls -l ./

![185139][]

第一条命令是创建新目录`testDir`； 第二条命令是查看`testDir`现有的权限； 第三条命令是在保证`testDir`原有权限的情况下为其添加`stick bit`权限； 第四条命令是查看是否添加成功；

案例演示`３`：

将目录`testDir`取消`stick bit`权限，具体使用如下命令：

sudo chmod o-t testDir
       ls -l .

![185128][]

#### 编程要求 ####

在右侧编辑器中补充代码，完成对目录设置`stick bit`权限，具体编程要求如下：

*  使用助记语法为系统已存在目录`oldDir1`（默认权限为:`rwxrwxrwx`）设置`stick bit`权限；
 *  使用助记语法为系统已存在目录`oldDir2`取消`stick bit`权限。

#### 测试说明 ####

平台将对你编写的代码进行评测：

预期输出：

设置oldDir1目录权限成功
       设置oldDir2目录权限成功

--------------------

一个人几乎可以在任何他怀有无限热忱的事情上成功。 ——查尔斯·史考伯

开始你的任务吧，祝你成功！

#!/bin/bash
    
    #在以下部分写出完成任务的命令
    #***********begin*************#
    chmod o+t oldDir1
    chmod o-t oldDir2
    #************end**************#

## 第3关：Linux文件/目录特殊属性 ##

*  任务描述
 *  相关知识
    
     *  chattr
     *  lsattr
 *  编程要求
 *  测试说明

--------------------

#### 任务描述 ####

假设用户`A`在创建了一个文件`testA`，那么此时需要其他所有用户（包括`root`用户）不能将其删除，也就是说如何创建一个不可删除的文件，听起来多么酷炫，通过本关的学习，我们就可以轻松的创建一个不可删除的文件。

本关任务：查看/修改`Linux`中文件/目录的特殊属性。

#### 相关知识 ####

`Linux`中文件/目录常见的属性的所属者、所属组、创建时间和最新修改时间等外，还存在些隐藏属性，这些隐藏属性在保护系统文件的安全性上非常重要。

`Linux`使用`lsattr`和`chattr`两个命令查看和修改文件/目录的特殊属性。

接下让我们详细的学习`lsattr`和`chattr`的使用方法。

##### chattr #####

`chattr`的作用是修改文件/目录的特殊属性。

具体命令如下：

`chattr　[+|-|=] 属性标示符　命令参数　文件/目录`

常用命令参数如下：

-R：递归处理，将指令目录下的所有文件及子目录一并处理；
        -V：显示指令执行过程；

+<属性标示符>：开启文件或目录的该项属性；
        -<属性标示符>：关闭文件或目录的该项属性；
        =<属性标示符>：指定文件或目录的该项属性。

常用属性标示符：

a：让文件或目录仅供附加用途；
        A：不更新文件或目录的最后存取时间；
        c：将文件或目录压缩后存放；
        d：将文件或目录排除在倾倒操作之外；
        i：不得任意更动文件或目录；
        s：保密性删除文件或目录；
        S：即时更新文件或目录；
        u：预防意外删除。

执行权限：`chattr`必须以`root`权限才能执行，如果是普通用户想执行`chattr`时，需要在命令前加`sudo`命令来提升权限为`root`权限。

案例演示`1`：

为文件`testFile`设置为不得任意更动，具体使用如下命令：

sudo chattr +i testFile

![185141][]

将文件`testFile`设置为`i`隐藏属性后，试图删除，可以看到无法对其进行删除操作。

案例演示`２`：

将目录`testDir`以及目录下所有内容一并设置为不得任意更动，具体使用如下命令：

sudo chattr +i -R testDir

![185143][]

试图删除`testDir`目录下的`file1`文件，可以看到无法删除。

案例演示`３`：

将`testFile`文件的`i`属性取消，具体使用如下命令：

sudo chattr -i testFile

![185144][]

可以看到删除`i`属性后，既可以删除该文件。

##### lsattr #####

`lsattr`的作用查看文件/目录的特殊属性设置情况。

具体命令如下：

`lsattr　命令参数　文件/目录`

常用参数如下：

-R：递归的操作方式；
       -V：显示指令的版本信息；
       -a：列出目录中的所有文件，包括隐藏文件。

案例演示`1`：

查看目录`testDir`下所有内容的特殊属性，具体使用如下命令：

lsattr -Ra testFile

![185145][]

#### 编程要求 ####

在右侧编辑器中补充代码，具体编程要求如下：

*  为系统已存在文件`/root/oldFile1`添加`i`属性；
 *  查看系统已存在文件`/root/oldFile2`的特殊属性；
 *  为系统已存在文件`/root/oldFile3`取消`i`属性。

#### 测试说明 ####

平台会对你编写的代码进行评测：

预期输出：

设置/root/oldFile1文件属性成功
       查看/root/oldFile2文件属性成功
       取消/root/oldFile3文件属性成功

--------------------

每一种挫折或不利的突变，是带着同样或较大的有利的种子。——爱默生

开始你的任务吧，祝你成功！

#!/bin/bash
    
    #在以下部分写出完成任务的命令
    #***********begin*************#
    chattr +i /root/oldFile1
    lsattr -a /root/oldFile2
    chattr -i /root/oldFile3
    #************end**************#

[185123]: /images/20221005/fb3f9511a5ea496aa338987c4522edf8.png
[185124]: /images/20221005/433cbc6c336d47d2ab52df1bb1cb3807.png
[185125]: /images/20221005/b427fb428b64452ea4b9a1928a416a86.png
[185128]: /images/20221005/e5ad87651ae44975b5f430803fe769dc.png
[185129]: /images/20221005/67ef650e203a4476a97ed1972efcb9b1.png
[185126]: /images/20221005/e5ab72a6807e4ffab57f34e4cf54fb76.png
[185127]: /images/20221005/6d6cb52dcb8d4ce7b6328af4460ec676.png
[185136]: /images/20221005/74f4c58086274c9691a847a5de40c128.png
[185137]: /images/20221005/73036a94e994417c81b4c2d6867eeafa.png
[185138]: /images/20221005/1cf54c1303b24302861916e96a0dd74d.png
[185139]: /images/20221005/edc1976cd6e446deb218d5d5219a5933.png
[185141]: /images/20221005/755f5615d23c45aea2f4cdaf57ba461e.png
[185143]: /images/20221005/daebdddbc9bb40e3b5569ffe6480e8ab.png
[185144]: /images/20221005/1f529a9b9ecc4738983d5a0db3175af0.png
[185145]: /images/20221005/4063f53f2cc7457ba0fe7743238931ac.png