18.1.2-linux目录文件隐藏属性和特殊权限

Posted 2020-10-22

18.1.2

   linux目录文件隐藏属性和特殊权限

第1章 网站权限-通过控制权限让网站安全

内容:

1.linux权限查看 计算  修改 
2.文件和目录rwx含义 
3.各种权限拒绝错误排查
4.如何让网站通过权限控制 尽量安全
5.通过umask计算默认的权限 
6.文件系统的属性（隐藏属性） 
7.linux特殊权限 suid , 粘滞位(/tmp）

1.1 文件或目录安全  (比较安全的权限)

file    rw-r--r--    root  root   oldboy.txt

dir    rwxr-xr-x   root  root   oldboy.txt

file    644       dir   755           属于  root

 

1.2 网站安全:      ---站点目录(存放网站程序)

/app/blog            网站程序存放

/app/blog/upload      用户上传目录(用户的头像 上传的图片或附件)

 

 

1.3 如何让/app/blog目录安全

1.3.1  

1.blog目录

file 644 root root

dir  755 root root  

2.blog/upload目录

file 644 www www  

dir  755 www www  

运行博客 通过www用户(虚拟用户,被破译也不可以登录系统)运行  (root用户运行太危险,一旦破解就掌控了服务器)

 

1.3.2 环境准备：

useradd www (普通用户) 

mkdir -p /app/blog/upload

touch /app/blog/awk.html /app/blog/renyi.jpg   /app/blog/li.avi

1.3.3 测试及报错

su - www

#www用户上传一个文件

#www用户在 upload里面创建一个文件

[[email protected] blog]$ touch upload/oldboy.jpg

touch: cannot touch `upload/oldboy.jpg': Permission denied

[[email protected] blog]$ #upload目录

[[email protected] blog]$ ls -ld upload/

drwxr-xr-x 2 root root 4096 Dec 28 17:47 upload/

[[email protected] blog]$ #其他人 r-x

1.3.4 解决方法1 给其他用户写权限

chmod o+w upload  

drwxr-xrwx 2 root root 4096 Dec 28 17:47 upload/

权限太大了

 

1.3.5 解决方法2 把upload目录送给 www

chown www.www upload

drwxr-xr-x 2 www  www 4096 Dec 28 17:47 upload/

  

noexec 不让运行

最后  只能上传,不能查看

 

               1) --网站是以www用户的身份运行

网站权限的控制  2)--file 644 dir  755 root root

                3)upload  file 644      www  www

代码程序控制  1)--上传上来的文件无法运行

              2)--上传上来没有执行权限

 

第2章 umask   --反掩码 是什么 怎么计算  如何修改

2.1 Linux中默认的最大权限

file  666

dir   777

 

 

 

2.2 umask

2.2.1 作用:控制系统默认的权限

2.2.2 查看 [[email protected] ~]# umask

0022

2.2.3 通过umask计算 系统默认的权限

file  666

-022

=644

dir  777

-022

=755

2.2.4 umask

临时

[[email protected] ~]# umask 032

[[email protected] ~]# umask

0032

新创建文件

file 666

-032    

=634

+010

=644

文件:奇数位加一

 

新创建目录

dir 777

  -032

=745

目录正常

 

永久(了解,千万不要改)

/etc/profile        千万不能改

if [ $UID -gt 199 ] && [ "`/usr/bin/id -gn`" = "`/usr/bin/id -un`" ]; then

    umask 002

else

    umask 022

fi

如果 [ 当前用户uid > 199 ] 并且 [ "用户组名字" = "用户的名字"  ]; 然后

     umask 002

那么

 umask 022

果如

第3章 文件系统属性(文件的隐藏属性)

3.1 与文件系统属性相关命令       查看隐藏权限lsattr

查看文件系统属性lsattr      = == ==ls attribute

[[email protected] ~]# lsattr

-------------e- ./install.log.syslog

-------------e- ./oldboy.txt

 

 

修改文件系统属性chattr      = = == = change attr   + 加某种属性  - 去除某种属性

a  ==只能追加 (不能删除或修改原文件内容,只能在最后追加)

i  ==无敌了(不能删除,修改或追加)

例1:  a属性

[ro[email protected] ~]# lsattr oldboy.txt                             查看文件系统属性

-------------e- oldboy.txt

[[email protected] ~]# chattr +a oldboy.txt                          为文件加上a属性

[[email protected] ~]# lsattr oldboy.txt

-----a-------e- oldboy.txt

[[email protected] ~]# echo "I love you">>oldboy.txt                 可以为文件追加内容

[[email protected] ~]# echo "I love you">oldboy.txt                  不可以清空原文件增加内容

-bash: oldboy.txt: Operation not permitted

[[email protected] ~]# rm -f oldboy.txt                              不可以删除原文件

rm: cannot remove `oldboy.txt': Operation not permitted

[[email protected] ~]# chattr -a oldboy.txt                           最后实验完记得把文集系统属性改回来

[[email protected] ~]# lsattr oldboy.txt

-------------e- oldboy.txt

例2:   i属性

[[email protected] ~]# lsattr oldboy.txt                              查看文件属性

-------------e- oldboy.txt                   

[[email protected] ~]# chattr +i oldboy.txt                           为文件加上i属性

[[email protected] ~]# lsattr oldboy.txt

----i--------e- oldboy.txt

[[email protected] ~]# echo "I love you">>oldboy.txt                  不可往文件中追加内容

-bash: oldboy.txt: Permission denied

[[email protected] ~]# echo "I love you">oldboy.txt                   不可清空文件

-bash: oldboy.txt: Permission denied

[[email protected] ~]# \rm -f oldboy.txt                              不可删除文件

rm: cannot remove `oldboy.txt': Operation not permitted

[[email protected] ~]# chattr -i oldboy.txt                           实验完记得把文件系统属性改回来

[[email protected] ~]# lsattr oldboy.txt

-------------e- oldboy.txt

 

 

3.2 重要用法:

主要命令文件   +i

重要配置文件   +a

第4章 查看系统负载系列

w  查看系统负载

top 动态查看负载 (显示不全)

作业:yum安装  --(为什么安不上  怎么及解决)

htop升级版的top

iotop 查询系统磁盘读写

iftop 查看网络信息 流量

第5章 特殊权限

5.1 情景引入:                 查看特殊权限   ls -l     s

[[email protected] ~]# ls -ld /usr/bin/passwd /tmp/ /usr/bin/locate

drwxrwxrwt. 5 root root     4096 Jan  2 03:42 /tmp/                      特殊权限,颜色的不同

-rwx--s--x. 1 root slocate 38464 Mar 12  2015 /usr/bin/locate            t权限和s权限

-rwsr-xr-x. 1 root root    30768 Nov 24  2015 /usr/bin/passwd

 

5.1.1 -s  用户在运行这个命令时相当于root用户   ===4    ==suid setuid

[[email protected] ~]# ls -l /usr/bin/passwd                            查看文件隐藏权限

-rwsr-xr-x. 1 root root 30768 Nov 24  2015 /usr/bin/passwd     

[[email protected] ~]# chmod u-s /usr/bin/passwd                        为文件去除s隐藏权限

[[email protected] ~]# ls -l /usr/bin/passwd

-rwxr-xr-x. 1 root root 30768 Nov 24  2015 /usr/bin/passwd

[[email protected] ~]# chmod u+s /usr/bin/passwd      也可以 chmod 4755 为文件添加s隐藏权限

[[email protected] ~]# ls -l /etc/shadow                                用户密码文件默认都没有任何权限

----------. 1 root root 1094 Jan  2 01:20 /etc/shadow

[[email protected] ~]# su - oldboy

[[email protected] ~]$ passwd                                         oldboy用户可以设置自己的密码

Changing password for user oldboy.

Changing password for oldboy.

(current) UNIX password:

New password:

BAD PASSWORD: it is too simplistic/systematic                     密码太简单,复杂一点就OK

1. 用户运行passwd命令

2. 用户相当于是root用户

3. root用户可以修改/etc/passwd文件

 

5.1.2 -s(小写)和-S(大写)的区别

你添加 -s(小写)的选项,查看时有时候会发现变成S(大写)

如果文件没有x权限,会变成S;反之,是s(小写)

S(大写)=s(小写)+x            s权限必须和x权限搭配

[[email protected] oldboy]# chmod 4755 gao.txt                  为文件加上s权限

[[email protected] oldboy]# ls -l gao.txt

-rwsr-xr-x. 1 root root 28 Jan  2 06:26 gao.txt           显示权限为s(小写)

[[email protected] oldboy]# chmod u-x gao.txt                   去掉文件x权限

[[email protected] oldboy]# ls -l gao.txt

-rwSr-xr-x. 1 root root 28 Jan  2 06:26 gao.txt           显示为S(大写

 

5.2 -t 粘滞位   /tmp 目录 (777必须记住)  ---1    ===sticky

5.2.1 作用 (相当之重要)

任何人都可以在这个目录里创建文件(原来的权限是777)

每个人只能管理自己的文件,其他人的处理不了

 

 

 

5.3 sgid localte   用户在运行一个命令的时候,相当于属于这个命令所在的家庭(用户组root)   不重要-了解

ls -l “which local”

5.4 特殊权限总结:

1. -s --suid setuid

  作用:运行某一个命令命令的时候相当于这个命令的所有者(root)

  设置方法:chmod u+s /bin/rm 或 chmod 4775 /bin/rm

  危险:所有用户运行命令的时候都相当于是root

  例:/usr/bin/passwd

2. -t  --sticky 沾滞位(1777 /tmp目录)

  任何人都可以在这个目录中从创建文件(原来权限是777)

 -t 权限   --- 每个人只能管理自己的文件,其他人的处理不了

3  sgid localte  运行某一个命令命令的时候相当于这个命令的用户组(root)

 

5.5 特殊权限和隐藏属性查看及修改的区别:

隐藏属性:

查看:lsattr +文件名

修改:chattr  +a/+i +文件名

特殊权限:

查看:ls -l +文件名 / stat +文件名

修改:chmod 1777 /u+s /+t +文件名

 

5.6 总结：
1.linux权限查看 计算  修改 
2.文件和目录rwx含义 
3.各种权限拒绝错误排查
4.如何让网站通过权限控制 尽量安全
5.通过umask计算默认的权限 
6.文件系统的属性（隐藏属性） 
7.linux特殊权限 suid , 粘滞位(/tmp）


题目：
1.安装并使用
#htop 升级版top命令 
#iotop 查询系统磁盘读写  
#iftop 查看网络信息 流量 

2.如何找出系统中带有特殊权限的文件或目录