Linux權(quán)限那些事兒
Linux的權(quán)限管理與Windows差異較大，很多Linux使用者難以系統(tǒng)的理解，而權(quán)限的重要性不言而喻，本文通過案例式循序漸進(jìn)的講解，來為讀者朋友們庖丁解牛。在《從ls命令開始》和《深入理解SetUID》文章中，筆者已經(jīng)分別講解了rwx權(quán)限和特殊權(quán)限SetUID ，本文查缺補(bǔ)漏把剩下的權(quán)限一一剖析，期望網(wǎng)友能夠看完這三篇文章后對(duì)Linux權(quán)限有一個(gè)整體的把握。
一、 權(quán)限之粘著位
Linux中有一個(gè)存放臨時(shí)文件的目錄/tmp(類似于Windows中的temp目錄)，每個(gè)用戶產(chǎn)生的臨時(shí)文件都存放在此目錄下，也就是說每個(gè)用戶對(duì)/tmp目錄都應(yīng)該有寫權(quán)限(否則無法拷貝生成文件)，這樣造成一個(gè)問題，比如，高洛峰在/tmp目錄下創(chuàng)建了一個(gè)文件，張沫看著不爽就可以刪掉，這如何控制?
其實(shí)，這種情況永遠(yuǎn)都不會(huì)發(fā)生，因?yàn)?tmp目錄有一個(gè)特殊的權(quán)限標(biāo)記：
ls -ld /tmp drwxrwxrwt 5 root root 4096 May 24 13:55 /tmp
瞧見那個(gè)rwx權(quán)限最后的“t”了沒，那個(gè)神奇的“t”就是粘著位t(有的資料中文也稱為粘滯位)，是Linux特殊權(quán)限中的第三個(gè)(另外兩個(gè)是SetUID和SetGID)，定義為：權(quán)限為777的目錄設(shè)置粘著位t以后，具有寫權(quán)限每個(gè)用戶都可以在目錄下創(chuàng)建文件，不同的是每個(gè)用戶只能刪除自己是所有者的文件，也就是說只能刪除自己創(chuàng)建的文件。
讀者可以做一下試驗(yàn)，重復(fù)一下《草根》第二期“從ls命令開始”中的案例一操作(給目錄/test授予777權(quán)限用一個(gè)普通用戶登錄刪除另一個(gè)普通用戶創(chuàng)建的文件)，不過這次創(chuàng)建的目錄/test多授予它一個(gè)粘著位權(quán)限：
chmod o+t /test # 或 chmod 1777 /test
此時(shí)普通用戶嘗試刪除其他用戶的文件時(shí)，會(huì)給出提示“Operation not permitted”(中文翻譯：你丫沒事吧，瞎得瑟啥，哥的文件你刪不了)。
二、 文件系統(tǒng)權(quán)限
每個(gè)操作系統(tǒng)都要有一種組織管理數(shù)據(jù)的方式，我們可以理解為就是文件系統(tǒng)，比如Windows的NTFS、FAT ，Linux的EXT ，而在Linux加載分區(qū)時(shí)可以針對(duì)文件系統(tǒng)進(jìn)行權(quán)限設(shè)定。
配置文件/etc/fstab保存了Linux啟動(dòng)時(shí)自動(dòng)加載的分區(qū)信息，/etc/fstab文件中第四項(xiàng)定義了加載時(shí)的設(shè)置，默認(rèn)為defaults ，包括rw、suid、dev、exec、auto、nouser、async ，如果想改變整個(gè)分區(qū)的限定，可以利用這些選項(xiàng)。本文舉兩例說明，證明基于文件系統(tǒng)的權(quán)限那是相當(dāng)霸道。
案例一：只讀分區(qū)
默認(rèn)加載分區(qū)是可讀寫rw的，但是如果特殊應(yīng)用希望分區(qū)加載后是只讀的，可以做一下設(shè)置：
vi /etc/fstab # 編輯/etc/fstab文件在defaults后加入ro選項(xiàng)(逗號(hào)分隔) LABEL=/soft /soft ext3 defaults,ro 1 2 mount -o remount /soft # 重新加載/soft分區(qū)，使設(shè)置生效
如果你不嫌麻煩也可以重啟系統(tǒng)，設(shè)置同樣會(huì)生效。
此時(shí)整個(gè)/soft分區(qū)都是只讀的，用root登錄后執(zhí)行：
touch /soft/testfile touch: cannot touch `testfile': Read-only file system
會(huì)提示/soft分區(qū)是只讀的，即便牛X到是root也不可以創(chuàng)建文件，這是凌駕于rwx權(quán)限之上的文件系統(tǒng)權(quán)限，相當(dāng)?shù)呐與牛C之間。像本例是筆者公司的軟件共享目錄，一般半個(gè)月才更新一次軟件，平時(shí)不想任何人增加或刪除(包括不希望root用戶誤刪除)，所以設(shè)置為ro ，更新軟件時(shí)，可以臨時(shí)更改會(huì)rw來設(shè)置：
mount -o remount,rw /soft
在命令行上也可以設(shè)置分區(qū)權(quán)限，但是只是當(dāng)前會(huì)話有效，而寫入/etc/fstab文件后則會(huì)一直有效。
案例二：安全分區(qū)
數(shù)據(jù)存儲(chǔ)的分區(qū)，如用做備份的分區(qū)，我們可以增加下安全設(shè)置選項(xiàng)：
vi /etc/fstab # 編輯/etc/fstab文件在defaults后加入noexec選項(xiàng) LABEL=/backup /backup ext3 defaults,noexec 1 2 mount -o remount /backup # 重新加載/backup分區(qū)，使設(shè)置生效
此時(shí)做個(gè)試驗(yàn)，我們使用普通用戶拷貝一個(gè)命令文件pwd在/backup目錄下
cp /bin/pwd /backup /backup/pwd -bash: pwd: Permission denied ls -l pwd -rwxr-xr-x 1 liming liming 93560 Sep 25 10:13 pwd
命令拷貝到/backup下雖然具有可執(zhí)行權(quán)限，但是也無法執(zhí)行，在/backup分區(qū)下，任何可執(zhí)行文件都將不能執(zhí)行，這么做的意義在哪里?如果攻擊程序、木馬、病毒不能夠執(zhí)行，那么就相當(dāng)于沒有意義。
其他選項(xiàng)不做更多演示，這里只拋磚引玉，其他選項(xiàng)設(shè)置讀者可man mount查看，查看-o選項(xiàng)中的詳細(xì)介紹，更多設(shè)置讀者可自行嘗試，所謂授之以魚不如授之以漁讀萬卷書不如行萬里路萬惡淫為首窗前明月光啊。#p#
三、 權(quán)限之chattr
chatrr只有超人root用戶可以使用，用來修改文件的權(quán)限屬性，建立凌駕于rwx基礎(chǔ)權(quán)限之上的授權(quán)。
在此介紹兩個(gè)常用選項(xiàng)：
a 只允許在文件后追加數(shù)據(jù)，如果目錄具有此屬性，系統(tǒng)將只允許在目錄下建立和修
改文件，而不允許刪除任何文件。
i 不允許對(duì)文件進(jìn)行任何修改，如果目錄具有此屬性，那么只能修改目錄下的文件，
不允許建立和刪除文件。
案例一：無法刪除和更改的文件
如果要建立一個(gè)公共訪問的目錄，大家都可以刪除和創(chuàng)建、拷貝文件，但是有一個(gè)基本的使用此目錄的規(guī)則，要建立一個(gè)說明文件README ，這個(gè)文件不允許大家刪除和修改，則可以如下設(shè)置：
chattr +i README
這時(shí)，README文件所在目錄所有用戶都有讀寫權(quán)限，但是任何用戶都無法刪除README文件(包括root)，嘗試刪除會(huì)提示：
rm README rm: remove write-protected regular empty file `README'? y rm: cannot remove `README': Operation not permitted
同樣也不可以改變文件的內(nèi)容，可以查看到README文件被增加了一個(gè)不可更改的屬性：
lsattr README ----i-------- README
此時(shí)，README變成了一個(gè)非常牛XX的文件，即便你是SuperUser也無法刪除和修改它，想對(duì)它干嘛都不成。
若要更改或刪除文件也必須先去掉i屬性才可以：
chattr -i README
案例二：備份目錄應(yīng)用
假設(shè)有這樣一種應(yīng)用，我們每天自動(dòng)化實(shí)現(xiàn)把上海服務(wù)器的日志通過scp和rsync遠(yuǎn)程備份到北京的備份服務(wù)器上，備份服務(wù)器的存儲(chǔ)目錄可設(shè)置為只可創(chuàng)建文件而不可刪除。
chattr +a /backup/log
設(shè)置后，可在本機(jī)測試：
cp /var/log/messages /backup/log # 可以拷貝文件 rm /backup/log/messages # 刪除文件則被禁止 rm: remove regular file `messages'? y rm: cannot remove `messages': Operation not permitted
chattr命令不宜對(duì)目錄/、/dev、/tmp、/var等設(shè)置，嚴(yán)重者甚至容易導(dǎo)致系統(tǒng)無法啟動(dòng)，比如根目錄如果設(shè)置了i屬性，謹(jǐn)慎設(shè)置，看過此文試驗(yàn)后造成系統(tǒng)問題者，筆者概不負(fù)責(zé)……
四 權(quán)限之ACL
Linux中默認(rèn)的權(quán)限管理比較菜，難以實(shí)現(xiàn)復(fù)雜的權(quán)限控制，如針對(duì)一個(gè)文件設(shè)置幾個(gè)用戶或用戶組具有不同權(quán)限，這就需要依靠ACL(Access Control List)訪問控制列表實(shí)現(xiàn)，可以針對(duì)任意指定的用戶/用戶組分配權(quán)限。
開啟分區(qū)的ACL功能 ，需要在/etc/fstab文件中加入acl選項(xiàng)，如：
LABEL=/backup /backup ext3 defaults,acl 1 2
然后重新加載分區(qū)即可生效：
mount -o remount /backup
如果想臨時(shí)生效可不修改/etc/fstab文件，直接執(zhí)行命令“mount -o remount,acl /backup”即可。
案例：設(shè)定復(fù)雜權(quán)限控制目錄
設(shè)定目錄/backup/log用戶zhangsan有讀寫執(zhí)行權(quán)限，用戶lisi有讀權(quán)限，用戶wangwu有讀寫權(quán)限，而用戶組bakgroup有讀和執(zhí)行權(quán)限，則可做如下設(shè)置：
setfacl -m u:zhangsan:rwx,u:lisi:r,u:wangwu:rw,g:bakgroup:rx /backup/log
setfacl -m可以設(shè)置文件/目錄的訪問權(quán)限，至于權(quán)限設(shè)定的寫法包括三個(gè)組成部分，第一部分列出設(shè)定對(duì)象是用戶u或用戶組g ;第二部分指定用戶名或用戶組名;第三部分指定訪問權(quán)限r(nóng)wx ，設(shè)定多組權(quán)限中間用逗號(hào)分隔。如“u:lisi:r”表示設(shè)定用戶lisi為只讀權(quán)限。
查看目錄屬性：
ls -ld /backup/log drwxrwxr-x+ 2 root root 4096 May 25 07:16 /backup/log
會(huì)發(fā)現(xiàn)文件權(quán)限位后增加了一個(gè)加號(hào)，這說明/backup/log設(shè)置了ACL ，同時(shí)可以查看其詳細(xì)的權(quán)限設(shè)置：
getfacl /backup/log # file: backup/log # owner: root # group: root user::rwx user:zhangsan:rwx user:lisi:r-- user:wangwu:rw- group::r-x group:bakgroup:r-x mask::rwx other::r-x
這樣即可實(shí)現(xiàn)Linux中文件/目錄的復(fù)雜權(quán)限控制，要注意的是ACL優(yōu)先于基本權(quán)限設(shè)置，也就是說如果默認(rèn)所屬組為rx權(quán)限，但是ACL若指定了所屬組中某個(gè)成員為rwx權(quán)限，則此成員擁有rwx權(quán)限。#p#
五 權(quán)限之管理員授權(quán)
管理員做為特權(quán)用戶，很容易誤操作造成不必要的損失，再者都是root管理也怪累的，管理員也是人，也需要留點(diǎn)時(shí)間去約約會(huì)看看電影裝裝傻發(fā)發(fā)呆啥的不是……所以健康的管理方法是Linux服務(wù)架構(gòu)好后，可授權(quán)普通用戶協(xié)助完成日常管理，現(xiàn)在最流行的工具是Sudo ，幾乎所有Linux都已缺省安裝。
Sudo使用簡單，管理員root使用visudo命令即可編輯其配置文件/etc/sudoers進(jìn)行授權(quán)，具體格式為：
用戶名/用戶組名 主機(jī)地址=授權(quán)命令(絕對(duì)路徑)
如，授權(quán)用戶zhaoliu可以關(guān)機(jī)和重啟，則添加如下行：
zhaoliu Helen=/sbin/shutdown,/sbin/reboot
指定組名用百分號(hào)標(biāo)記，如%admgroup ，多個(gè)授權(quán)命令之間用逗號(hào)分隔。
用戶zhaoliu可以使用sudo查看授權(quán)的命令列表：
sudo -l Password: User zhaoliu may run the following commands on this host: (root) /sbin/shutdown (root) /sbin/reboot
提示輸入密碼為zhaoliu的密碼，驗(yàn)證其是否為管理員通過sudo授權(quán)的用戶，執(zhí)行命令：
sudo /sbin/shutdown -h now
zhaoliu即可關(guān)機(jī)，注意命令寫絕對(duì)路徑，或者把/sbin路徑導(dǎo)入到用戶缺省路徑中，否則無法執(zhí)行。
案例：授權(quán)用戶管理Apache
授權(quán)一個(gè)用戶管理你的Web服務(wù)器，不用自己插手是不是很爽，以后修改設(shè)置更新網(wǎng)頁什么都不用管，一定Happy死了，LOOK——
首先要分析授權(quán)用戶管理Apache至少要實(shí)現(xiàn)哪些基本授權(quán)：
1、可以使用Apache管理腳本
2、可以修改Apache配置文件
3、可以更新網(wǎng)頁內(nèi)容
假設(shè)Aapche管理腳本為/etc/rc.d/init.d/httpd ，滿足條件一，用visudo進(jìn)行授權(quán)：
zhaoliu Helen=/etc/rc.d/init.d/httpd reload,/etc/rc.d/init.d/httpd configtest
授權(quán)用戶zhaoliu可以通過Apache管理腳本重新讀取配置文件讓更改的設(shè)置生效(reload)和可以檢測Apache配置文件語法錯(cuò)誤(configtest)，但不允許其執(zhí)行關(guān)閉(stop)、重啟(restart)等操作。
滿足條件二，同樣使用visudo授權(quán)：
zhaoliu Helen=/bin/vi /etc/httpd/conf/httpd.conf
授權(quán)用戶可以root身份使用vi編輯Apache配置文件。
以上兩種sudo的設(shè)置，要特別注意，很多朋友使用sudo會(huì)犯兩個(gè)錯(cuò)誤：第一，授權(quán)命令沒有細(xì)化到選項(xiàng)和參數(shù);第二，認(rèn)為只能授權(quán)管理員執(zhí)行的命令。
條件三則比較簡單，假設(shè)網(wǎng)頁存放目錄為/var/www/html ，則只需要授權(quán)zhaoliu對(duì)此目錄具有寫權(quán)限或者索性更改目錄所有者為zhaoliu即可，如果需要還可以設(shè)置zhaoliu可以通過FTP等文件共享服務(wù)更新網(wǎng)頁。
本文所有操作在Red Hat Enterprise Linux 5.4下完成，其他Linux基本無差異，本文基本涵蓋Linux的所有權(quán)限管理方式，雖不細(xì)致但足以讓讀者對(duì)其有一個(gè)整體的了解。
最后請(qǐng)切記系統(tǒng)安全的基本原則：授權(quán)用戶最小的權(quán)限。
蜘蛛俠說“能力越大責(zé)任越大”，Linux管理員說“能力越大出錯(cuò)幾率越大”，阿門。
【編輯推薦】
